在Win2000/XP上安静地替换正在使用的系统文件

whypro

1. #include <stdlib.h>
   
2. #include "Windows.h"
   
3. #include "Tlhelp32.h"
   
4. #pragma comment( lib, "Advapi32.lib" )
   
5. 
   
6. typedef void (_stdcall * CLOSEEVENTS)(void);
   
7. typedef unsigned long DWORD;
   
8. typedef DWORD ANTISFC_ACCESS;
   
9. 
   
10. /*
    
11. * ANTISFC structures
    
12. */
    
13. 
    
14. typedef struct _ANTISFC_PROCESS {
    
15.     DWORD     Pid;                 // process pid
    
16.     HANDLE ProcessHandle;       // process handle
    
17.     char   ImageName[MAX_PATH]; // image name (not full path)
    
18. } ANTISFC_PROCESS, *PANTISFC_PROCESS;
    
19. 
    
20. __inline void ErrorMessageBox(char *szAdditionInfo)
    
21. {
    
22.     printf("error on %s, error code %d. \n", szAdditionInfo, GetLastError());
    
23. }
    
24. 
    
25. void usage(char *n) {
    
26.     printf("usage: %s [/d]\n", n);
    
27.     printf("\t/d: disable sfc file protecte fuction.\n");
    
28.     exit(0);
    
29. }
    
30. 
    
31. DWORD Init() {
    
32.     DWORD  Ret = 0;
    
33.     HANDLE hToken;
    
34.     LUID sedebugnameValue;
    
35.     TOKEN_PRIVILEGES tkp;
    
36. 
    
37.     if (!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken)) {
    
38.         ErrorMessageBox("OpenProcessToken");
    
39.     } else {
    
40. 
    
41.         if (!LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &sedebugnameValue)) {
    
42.             ErrorMessageBox("LookupPrivilegeValue");
    
43.         } else {
    
44. 
    
45.             tkp.PrivilegeCount = 1;
    
46.             tkp.Privileges[0].Luid = sedebugnameValue;
    
47.             tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    
48. 
    
49.             if (!AdjustTokenPrivileges(hToken, FALSE, &tkp, sizeof tkp, NULL, NULL)) {
    
50.                 ErrorMessageBox("AdjustTokenPrivileges");
    
51.             } else {
    
52.                 Ret = 1;
    
53.             }
    
54.         }
    
55.         CloseHandle(hToken);
    
56.     }
    
57. 
    
58.     return(Ret);
    
59. }
    
60. 
    
61. DWORD GetPidEx(char *proc_name, char *full_path) {
    
62.     DWORD            dwPid=0;
    
63.     HANDLE            hSnapshot;
    
64.     PROCESSENTRY32    pe;
    
65.     BOOL               Ret;
    
66.    
    
67.    if (isdigit(proc_name[0]))
    
68.        dwPid = strtoul(proc_name, NULL, 0);
    
69.    else
    
70.       dwPid = -1;
    
71.       
    
72.     hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
    
73.     if (hSnapshot == (HANDLE) -1){
    
74.         ErrorMessageBox("CreateToolhelp32Snapshot");
    
75.         return(0);
    
76.     }
    
77. 
    
78.     pe.dwSize = sizeof(PROCESSENTRY32);
    
79.     Ret = Process32First(hSnapshot, &pe);
    
80. 
    
81.     while (Ret) {
    
82.           if((strncmp(strlwr(pe.szExeFile), strlwr(proc_name), strlen(proc_name)) == 0)
    
83.              || (pe.th32ProcessID == dwPid)) {
    
84.                 dwPid = pe.th32ProcessID;
    
85.                 strcpy(full_path, pe.szExeFile);
    
86.                 break;
    
87.         }
    
88.         pe.dwSize = sizeof(PROCESSENTRY32);
    
89.         Ret = Process32Next(hSnapshot, &pe);
    
90.     }
    
91. 
    
92.     CloseHandle(hSnapshot);
    
93.     if (dwPid == -1)
    
94.        dwPid = 0;
    
95.     return(dwPid);
    
96. }
    
97. 
    
98. DWORD InitProcess(PANTISFC_PROCESS Process, char *proc_name, ANTISFC_ACCESS access) {
    
99.     DWORD Ret=0;
    
100. 
     
101.     Process->Pid = GetPidEx(proc_name, Process->ImageName);
     
102.     if (Process->Pid != 0 && Process->ImageName[0] != 0) {
     
103.         Process->ProcessHandle = OpenProcess(access, FALSE, Process->Pid);
     
104.         if (Process->ProcessHandle == NULL)
     
105.             ErrorMessageBox("OpenProcess");
     
106.         else
     
107.             Ret = 1;
     
108.     }
     
109. 
     
110.     return(Ret);
     
111. }
     
112. 
     
113. DWORD InjectThread(PANTISFC_PROCESS Process,
     
114.                 PVOID function) {
     
115.     HANDLE    hThread;
     
116.     DWORD    dwThreadPid = 0, dwState;
     
117. 
     
118.     hThread = CreateRemoteThread(Process->ProcessHandle,
     
119.                                 NULL,
     
120.                                 0,
     
121.                                 (DWORD (__stdcall *) (void *)) function,
     
122.                                 NULL,
     
123.                                 0,
     
124.                                 &dwThreadPid);
     
125.     if (hThread == NULL) {
     
126.         ErrorMessageBox("CreateRemoteThread");
     
127.         goto cleanup;
     
128.     }
     
129. 
     
130.     dwState = WaitForSingleObject(hThread, 4000); // attends 4 secondes
     
131. 
     
132.     switch (dwState) {
     
133.     case WAIT_TIMEOUT:
     
134.     case WAIT_FAILED:
     
135.         ErrorMessageBox("WaitForSingleObject");
     
136.         goto cleanup;
     
137. 
     
138.     case WAIT_OBJECT_0:
     
139.         break;
     
140. 
     
141.     default:
     
142.         ErrorMessageBox("WaitForSingleObject");
     
143.         goto cleanup;
     
144.     }
     
145. 
     
146.     CloseHandle(hThread);
     
147.     return dwThreadPid;
     
148.    
     
149. cleanup:
     
150.     CloseHandle(hThread);
     
151. 
     
152.     return 0;
     
153. }
     
154. 
     
155. int main(int argc, char* argv[])
     
156. {
     
157.     ANTISFC_PROCESS     Process;
     
158.     HMODULE hSfc;
     
159.     DWORD    dwThread;
     
160.     CLOSEEVENTS pfnCloseEvents;
     
161.     DWORD dwVersion;
     
162. 
     
163.     printf("AntiSfc programed by bgate. :) *\n\n");
     
164. 
     
165.     if (argc != 2)
     
166.         usage(argv[0]);
     
167. 
     
168.     if (strcmp(argv[1], "/d") != 0) {
     
169.         usage(argv[0]);
     
170.     }
     
171. 
     
172.     if (Init()) {
     
173.         printf("debug privilege set\n");
     
174.     } else {
     
175.         printf("error on get debug privilege\n");
     
176.         return(0);
     
177.     }
     
178. 
     
179.     if(InitProcess(&Process, "winlogon.exe", PROCESS_ALL_ACCESS) == 0) {
     
180.          printf("error on get process info. \n");
     
181.         return(0);
     
182.     }
     
183. 
     
184.     dwVersion = GetVersion();
     
185.     if ((DWORD)(LOBYTE(LOWORD(dwVersion))) == 5){                // Windows 2000/XP
     
186.         if((DWORD)(HIBYTE(LOWORD(dwVersion))) == 0){             //Windows 2000
     
187.             hSfc = LoadLibrary("sfc.dll");
     
188.             printf("Win2000\n");
     
189.         }
     
190.         else {//if((DWORD)(HIBYTE(LOWORD(dwVersion))) = 1)             //Windows XP
     
191.             hSfc = LoadLibrary("sfc_os.dll");
     
192.             printf("Windows XP\n");
     
193.         }
     
194.     }   
     
195.     //else if ()  //2003?
     
196.     else {
     
197.         printf("unsupported version\n");
     
198.     }
     
199. 
     
200.     pfnCloseEvents = (CLOSEEVENTS)GetProcAddress(hSfc,
     
201.                                                  MAKEINTRESOURCE(2));
     
202.     if(pfnCloseEvents == NULL){
     
203.         printf("Load the sfc fuction failed\n");
     
204.         FreeLibrary(hSfc);
     
205.         return(0);
     
206.     }
     
207. 
     
208.     FreeLibrary(hSfc);
     
209. 
     
210.     dwThread = InjectThread(&Process,
     
211.                             pfnCloseEvents);
     
212.    
     
213.     if(dwThread == 0){
     
214.         printf("failed\n");
     
215.     }
     
216.     else{
     
217.         printf("OK\n");
     
218.     }
     
219. 
     
220.     CloseHandle(Process.ProcessHandle);
     
221.     return(0);
     
222. 
     
223. }
     

复制代码

whypro

signed int __cdecl wmain(signed int a1, int a2)
{
  const WCHAR *v2; // ebx@1
  const WCHAR *v3; // ebp@1
  bool v4; // edi@2
  const wchar_t **v6; // ebx@15
  int v7; // edi@15
  size_t v8; // esi@16
  int v9; // [sp-4h] [bp-510h]@5
  int v10; // [sp-4h] [bp-510h]@17
  char v11; // [sp+13h] [bp-4F9h]@25
  CHAR MultiByteStr; // [sp+14h] [bp-4F8h]@16
  int v13; // [sp+1Ch] [bp-4F0h]@1
  struct _OSVERSIONINFOA VersionInformation; // [sp+20h] [bp-4ECh]@1
  CHAR NewFileName; // [sp+B4h] [bp-458h]@29
  const CHAR puLen; // [sp+118h] [bp-3F4h]@6
  CHAR v17; // [sp+218h] [bp-2F4h]@2
  CHAR FileName; // [sp+268h] [bp-2A4h]@6
  CHAR PathName; // [sp+368h] [bp-1A4h]@29
  struct _WIN32_FIND_DATAA FindFileData; // [sp+3CCh] [bp-140h]@1

  v3 = *(const WCHAR **)(a2 + 4);
  v2 = *(const WCHAR **)(a2 + 8);
  FindFileData.dwFileAttributes = 0;
  v13 = 0;
  memset(&FindFileData.ftCreationTime, 0, 0x13Cu);
  memset(&VersionInformation, 0, sizeof(VersionInformation));
  VersionInformation.dwOSVersionInfoSize = 148;
  GetVersionExA(&VersionInformation);
  if ( VersionInformation.dwMajorVersion <= 4 )
  {
    v9 = (int)"This program requires Windows 2000";
    goto LABEL_31;
  }
  wsprintfA(&v17, "%d", LOWORD(VersionInformation.dwBuildNumber));
  v4 = unknown_libname_15(&v17, "2072") >= 0;
  ostream__operator__("InUse - version 1.4");
  ostream__operator__(10);
  sub_401820(sub_401840);
  ostream__operator__("---------------------------------------------------------------------------");
  ostream__operator__(10);
  sub_401820(sub_401840);
  ostream__operator__("Copyright (c) 1994-1999 Microsoft Corporation. All rights reserved");
  ostream__operator__(10);
  sub_401820(sub_401840);
  if ( v4 != 1 )
  {
    v9 = (int)"You are running on an un-supported beta build of Windows 2000\a";
    goto LABEL_31;
  }
  ostream__operator__("Windows 2000 detected - WFP is enforced");
  ostream__operator__(10);
  sub_401820(sub_401840);
  if ( a1 == 1 )
  {
LABEL_4:
    sub_401730();
    return 0;
  }
  WideCharToMultiByte(0, 0, v3, -1, &FileName, 256, 0, 0);
  WideCharToMultiByte(0, 0, v2, -1, (LPSTR)&puLen, 256, 0, 0);
  if ( (int)FindFirstFileA(&FileName, &FindFileData) == -1 )
  {
    sub_401730();
    v9 = (int)"\a Error:\tReplacement file doesn't exist";
    goto LABEL_31;
  }
  if ( FindFirstFileA(&puLen, &FindFileData) == (HANDLE)-1 )
  {
    sub_401730();
    v9 = (int)"\a Error:\tDestination file doesn't exist";
    goto LABEL_31;
  }
  if ( SfcIsFileProtected(0, v2) )
  {
    ostream__operator__(10);
    sub_401820(sub_401840);
    ostream__operator__(&puLen);
    ostream__operator__(" is protected by WFP\a");
    ostream__operator__(10);
    sub_401820(sub_401840);
    return 1;
  }
  switch ( a1 )
  {
    case 1:
    case 2:
      sub_401730();
      return 1;
    case 3:
    case 4:
      if ( a1 <= 3 )
        goto LABEL_24;
      v7 = a1 - 3;
      v6 = (const wchar_t **)(a2 + 12);
      break;
    default:
      goto LABEL_4;
  }
  do
  {
    v8 = wcslen(*v6);
    WideCharToMultiByte(0, 0, *(LPCWSTR *)(a2 + 12), -1, &MultiByteStr, 256, 0, 0);
    if ( v8 == 2 )
    {
      if ( unknown_libname_15(&MultiByteStr, "/y") && unknown_libname_15(&MultiByteStr, "/Y") )
      {
        ostream__operator__("\n ");
        ostream__operator__(&MultiByteStr);
        ostream__operator__(" <-- invalid parameter");
        ostream__operator__(10);
        sub_401820(sub_401840);
        sub_401730();
        goto LABEL_23;
      }
      v13 = 1;
      v10 = (int)"Confirmation suppressed";
    }
    else
    {
      v10 = (int)" <-- invalid parameter";
      ostream__operator__(L" ");
      ostream__operator__(&MultiByteStr);
    }
    ostream__operator__(v10);
    ostream__operator__(10);
    sub_401820(sub_401840);
LABEL_23:
    ++v6;
    --v7;
  }
  while ( v7 );
LABEL_24:
  ostream__operator__("\nINUSE is about to replace the following file");
  ostream__operator__(10);
  sub_401820(sub_401840);
  ostream__operator__("\n\tExisting:   ");
  ostream__operator__(L" ");
  ostream__operator__(&puLen);
  ostream__operator__(10);
  sub_401820(sub_401840);
  ostream__operator__(L"\t");
  sub_4015C0(&puLen);
  ostream__operator__(10);
  sub_401820(sub_401840);
  ostream__operator__("\tReplacement:");
  ostream__operator__(L" ");
  ostream__operator__(&FileName);
  ostream__operator__(10);
  sub_401820(sub_401840);
  ostream__operator__(L"\t");
  sub_4015C0(&FileName);
  if ( v13 )
    goto LABEL_34;
  ostream__operator__("\n\aDo you want to continue?(y/n) ");
  istream__operator__(&v11);
  if ( v11 == 110 )
  {
    v9 = (int)"\a\nOperation cancelled";
    goto LABEL_31;
  }
  if ( v11 != 78 )
  {
LABEL_34:
    GetTempPathA(0x200u, &PathName);
    GetTempFileNameA(&PathName, "INU", 0, &NewFileName);
    ostream__operator__("\n\t");
    ostream__operator__(&FileName);
    ostream__operator__(" is replacing --> ");
    ostream__operator__(&puLen);
    ostream__operator__(10);
    sub_401820(sub_401840);
    CopyFileA(&FileName, &NewFileName, 0);
    MoveFileExA(&NewFileName, &puLen, 5u);
    v9 = (int)"\nChanges will not take affect until you reboot.";
  }
  else
  {
    v9 = (int)"\a\nOperation cancelled";
  }
LABEL_31:
  ostream__operator__(v9);
  ostream__operator__(10);
  sub_401820(sub_401840);
  return 0;
}

whypro

只不过是移动拷贝而已，再就是用SfcIsFileProtected检查了一下，目标是否被保护。