Ring3下无驱动移除winlogon.exe进程ctrl+alt+del,win+u,win+l三个系统热键,非屏蔽热键（子类化SAS 窗口）

随手而作，纯粹技术研究，没什么实际意义。

打开xuetr,正常情况下.winlogon.exe注册了三个热键。
ctrl+alt+del,win+u,win+l三个。

这三个键用SetWindowsHookEx()函数，使用键盘钩子也屏蔽不了。

我们先把UnregisterSystemHotKey.dll解压出来，放到任意目录.

比如E盘根目录,就运行

1. rundll32 E:\UnregisterSystemHotKey.dll,Hook

再打开xuetr看下,Winlogo.exe进程注册的热键都没有了.

1. #include <windows.h>
2. #include <process.h>
3. #include <tchar.h>
4. #include <stdio.h>
5. #include <shlwapi.h>
6. #include <psapi.h>
7. #pragma comment(lib, "psapi.lib")
8. #pragma comment(lib, "shlwapi.lib")
9. TCHAR ModuleFile[MAX_PATH];
10. TCHAR szText[128] = {0};
11. WNDPROC OldWindowProc;
12. HWND hWinLogon;
13. HMODULE hDll;
14. LRESULT CALLBACK NewWindowProc(HWND hWnd, UINT message, WPARAM wParam, LPARAM lParam)
15. {
16. if (message == WM_NULL)
17. {
18. ::UnregisterHotKey(hWnd, 0); //Ctrl+Alt+delete
19. ::UnregisterHotKey(hWnd, 4); //Ctrl+Shift+Esc
20. ::UnregisterHotKey(hWnd, 5); //Win+L
21. ::UnregisterHotKey(hWnd, 6); //Win+U
22. ::SetWindowLongPtr(hWnd, GWL_WNDPROC, (LONG)OldWindowProc);
23. return 1;
24. }
25. return CallWindowProc(OldWindowProc, hWnd, message, wParam, lParam);
26. }
27. BOOL WINAPI EnablePrivileges()
28. {
29. HANDLE hToken;
30. TOKEN_PRIVILEGES tkp;
31. if (!OpenProcessToken(GetCurrentProcess(),
32. TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken))
33. return( FALSE );
34. LookupPrivilegeValue(NULL, SE_DEBUG_NAME,
35. &tkp.Privileges[0].Luid);
36. tkp.PrivilegeCount = 1;
37. tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
38. AdjustTokenPrivileges(hToken, FALSE, &tkp, 0,
39. (PTOKEN_PRIVILEGES)NULL, 0);
40. if (GetLastError() != ERROR_SUCCESS)
41. return FALSE;
42. return TRUE;
43. }
44. BOOL CALLBACK lpEnumWindowsProc(HWND hwnd, LPARAM lParam)
45. {
46. if (IsWindow(hwnd))
47. {
48. ::GetWindowText(hwnd, szText, _countof(szText));
49. if (!_tcscmp(szText, TEXT("SAS window")))
50. {
51. hWinLogon = hwnd;
52. OldWindowProc = (WNDPROC)::SetWindowLongPtr(hwnd, GWL_WNDPROC, (LONG)NewWindowProc);
53. PostMessage(hwnd, WM_NULL, 0, 0);
54. return FALSE;
55. }
56. }
57. return TRUE;
58. }
59. UINT _stdcall FreeSelfProc(void *Arg)
60. {
61. FreeLibraryAndExitThread(hDll, 0);
62. return 1;
63. }
64. BOOL WINAPI DllMain(HINSTANCE hDllHandle, DWORD nReason, LPVOID Reserved)
65. {
66. switch ( nReason )
67. {
68. case DLL_PROCESS_ATTACH:
69. hDll = hDllHandle;
70. GetModuleFileName(NULL, ModuleFile, _countof(ModuleFile));
71. EnablePrivileges();
72. if (StrStrI(ModuleFile, TEXT("winlogon.exe")))
73. {
74. HANDLE hThread;
75. UINT ThreadId;
76. HDESK hWinLogon = OpenDesktop(TEXT("Winlogon"), 0, FALSE, GENERIC_ALL);
77. ::EnumDesktopWindows(hWinLogon, lpEnumWindowsProc, NULL);
78. CloseDesktop(hWinLogon);
79. hThread = (HANDLE)_beginthreadex(NULL, NULL, &FreeSelfProc, 0, 0, &ThreadId);
80. WaitForSingleObject(hThread, INFINITE);
81. CloseHandle(hThread);
82. }
83. else
84. {
85. DWORD dwProcessId = 0;
86. HANDLE hProcess = 0;
87. DWORD ProcessList[512], cbNeeded, cProcess;
88. TCHAR szFileName[256];
89. EnumProcesses(ProcessList, sizeof(ProcessList), &cbNeeded);
90. cProcess = cbNeeded/sizeof(DWORD);
91. for (UINT i=0; i<cProcess; i++)
92. {
93. if (ProcessList[i] != 0)
94. {
95. hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, ProcessList[i]);
96. if (hProcess)
97. {
98. GetModuleBaseName(hProcess, NULL, szFileName, _countof(szFileName));
99. if (!_tcsicmp(szFileName, TEXT("winlogon.exe")))
100. {
101. dwProcessId = ProcessList[i];
102. break;
103. }
104. }
105. }
106. }
107. if (dwProcessId)
108. {
109. hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwProcessId);
110. }
111. if (!hProcess)
112. {
113. return 0;
114. }
115. LPVOID Param = VirtualAllocEx(hProcess, 0, 512, MEM_COMMIT, PAGE_READWRITE);
116. if (!Param)
117. {
118. MessageBox(NULL, TEXT("申请内存失败"), TEXT("申请内存失败"), MB_ICONWARNING);
119. return 0;
120. }
121. GetModuleFileName(hDllHandle, ModuleFile, _countof(ModuleFile));
122. if (!WriteProcessMemory(hProcess, Param, (LPVOID)ModuleFile, 256, NULL))
123. {
124. MessageBox(NULL, TEXT("写入内存失败"), TEXT("写入内存失败"), MB_ICONWARNING);
125. return 0;
126. }
127. HANDLE hThread = CreateRemoteThread(hProcess,
128. NULL,
129. NULL,
130. (LPTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle(TEXT("kernel32.dll")), "LoadLibraryW"),
131. Param,
132. NULL,
133. NULL);
134. if (hThread)
135. {
136. WaitForSingleObject(hThread, INFINITE);
137. }
138. else
139. {
140. TCHAR sztmp[1024];
141. _stprintf_s(sztmp, _countof(sztmp), TEXT("创建远程线程失败, 错误代码:%d, dll=%s"), GetLastError(), ModuleFile);
142. MessageBox(NULL, sztmp, TEXT("创建远程线程失败"), MB_ICONWARNING);
143. return 0;
144. }
145. VirtualFreeEx(hProcess, Param , 0, MEM_RELEASE);
146. CloseHandle(hThread);
147. CloseHandle(hProcess);
148. }
149. break;
150. case DLL_THREAD_ATTACH:
151. break;
152. case DLL_THREAD_DETACH:
153. break;
154. case DLL_PROCESS_DETACH:
155. ::SetWindowLongPtr(hWinLogon, GWL_WNDPROC, (LONG)OldWindowProc);
156. break;
157. default:
158. break;
159. }
160. return 1;
161. }
162. EXTERN_C __declspec(dllexport) int Hook(void)
163. {
164. return 1;
165. }

http://blog.csdn.net/zwfgdlc/article/details/6609591

我仔细看了看，突然想到。这不是传说很久的SAS子类化吗？居然忘记了
http://topic.csdn.net/u/20090402/11/d3e27441-cfcc-45d8-a0b2-1164fc3dd777.html