CN115859264B - 一种Windows10以及Windows11下基于UWP程序的注入方法 - Google Patents

Abstract

本发明属于网络安全技术领域，尤其是一种Windows10以及Windows11下基于UWP程序的注入方法，包括步骤一、通过注入单元进行文本数据的注入，注入单元包括注入模块，注入模块包括目标进程以及选择需要注入的动态链接库DLL，注入模块还包括将用户所指定的动态链接库DLL注入到，目标进程中的注入方式，注入方式包括提权注入。该方法，实现UWP程序的注入，核心是提升注入程序的权限，就需找到合适的可用户于模拟权限的用户/组，套用该用户/组的权限达到注入的效果，以实现在点击文本文档编辑器另存为时，另存为窗口一闪而逝，可以有效避免了文件在被打开的时候因为被‘另存为’而导致泄密的隐患，有效保护数据。

Description

一种Windows10以及Windows11下基于UWP程序的注入方法

技术领域

本发明涉及网络安全技术领域，尤其涉及一种Windows10以及Windows11下基于UWP程序的注入方法。

背景技术

如中国专利网站上公告号为CN107688747A的Windows环境下一种可配置和集成的Hook系统及其方法，其提供Windows环境下一种可配置和集成的Hook系统及其方法，涉及DLL注入技术、Hook技术和进程间通信技术领域，是windows常用且实现方案很成熟的技术手段，但该方案存在以下不足。

Windows环境下存在不同的系统版本，Windows10以下的系统中，基于windows消息界面的普通程序都可以注入成功，在Windows10以及Windows11系统中，因为系统增设了用于提升数据访问安全等级的UWP程序，对UWP程序设置了更高的权限控制，以此来提升数据访问的权限，此时现有的普通程序注入方式（远程线程注入、异步过程调用注入、消息钩子注入）将对UWP程序不再适用，无法将其成功注入进去，导致UWP程序面临可能被另存为而泄密的风险。

例如Windows11下文本文档编辑器属于其中的一个UWP程序，参见图1和图2所示，假如用普通程序注入方式‘注入’（实际并未被真正注入），此时Windows11下文本文档编辑器进程打开的文档仍可正常通过‘另存为’的方式保存文件，这就会使得文本文档编辑器进程打开的文档数据容易被另外保存而导致泄露。目前普通程序注入方法主要依靠Hook方法来实现的，Hook主要包括下列步骤：

Hook系统包括目标进程子系统200，目标进程子系统200包括已注入的钩子单元210；应用程序子系统100包括注入器单元110和钩子单元120；注入器单元110包括注入模块111；钩子单元120包括内联钩子模块121、导入地址表钩子模块122和向量化异常处理钩子模块123。

其交互关系是：注入模块111、钩子单元120、已注入的钩子单元210依次交互。

所述的注入模块111是指一段可以将动态链接库DLL注入到另一个进程的程序，包括选择目标进程111A、选择注入的动态链接库111B、选择注入方式111C和配置钩子函数111D。

所述的钩子单元120包括彼此独立的内联钩子模块121、导入地址表钩子模块122和向量化异常处理钩子模块123。

内联钩子模块121是指实现了内联钩子完整过程的DLL文件；导入地址表钩子模块122是指实现了导入地址表钩子完整过程的DLL文件；向量化异常处理钩子模块123是指实现了向量化异常处理钩子完整过程的DLL文件；

其特征在于Hook方法包括下列步骤：

①选择目标进程401；在选择目标进程中，以进程标识PID加上进程名的形式向用户列出当前进程，用户进行选择即可，这一步确定了要钩取的目标进程子系统。

②选择注入的动态链接库402；通过选择注入的动态链接库，用户自行指定待注入的动态链接库DLL文件；本系统的钩子单元封装了三个动态链接库，每一个动态链接库都实现了不同且完整的Hook功能，用户可选择任意一种。

③选择注入方式403；通过选择注入方式，用户在系统提供的三种注入方式里选择，实现将步骤③中用户所指定的动态链接库注入到步骤②中所确定的目标进程子系统。

其中常规选择注入方式111C提供了三种注入方式，分别是远程线程注入、异步过程调用注入、消息钩子注入；在用户选择了目标进程以及待注入DLL文件(文件完整路径)时，可利用三种注入方式选其一执行注入操作。

但目前针对Windows10/Windows11下的UWP(Universal Windows Platform)程序来说，上述三种常规注入方式实现‘注入’后就会使得文本文档编辑器进程打开的文档数据出现泄露的问题，从而造成了对UWP程序无法实现管控的问题。

发明内容

基于现有的Windows10/Windows11下基于UWP(Universal Windows Platform)程序上述三种常规注入方式无法实现注入，对UWP程序无法实现管控的技术问题，本发明提出了一种Windows10以及Windows11下基于UWP程序的注入方法。

本发明提出的一种Windows10以及Windows11下基于UWP程序的注入方法，包括步骤一、通过注入单元进行文本数据的注入；所述注入单元包括注入模块。

所述注入模块包括目标进程以及选择需要注入的动态链接库DLL。

所述注入模块还包括将用户所指定的动态链接库DLL注入到所述目标进程中的注入方式，所述注入方式包括提权注入。

还包括步骤二、进入钩子（Hook）单元；按所述注入方式完成所述动态链接库DLL的文件注入工作后，所述动态链接库DLL的文件将成为已注入的钩子单元。

步骤三、通过目标远程子系统，实现钩子函数全过程。

优选地，所述所述步骤一中的提权注入包括P1、获取钩子（Hook）文件安全描述符后开始执行；

若执行成功，则执行P2、模拟设置高权限；

若执行不成功，则显示注入失败，恢复程序原有功能。

优选地，实现所述获取钩子（Hook）文件的安全描述符的方法是通过调用GetNamedSecurityInfo函数（Windows API）来实现获取动作的。

优选地，若P2执行成功，则执行P3、组织文件高级权限信息；

若执行不成功，则显示注入失败，恢复程序原有功能。

优选地，实现所述模拟设置高权限的操作方法是通过调用ConvertStringSidToSid函数（Windows API）设置，将字符串格式的安全标识符SID转换为有效的功能性 SID。

优选地，若P3执行成功，则执行P4、设置钩子文件高权限的安全描述符；

若执行不成功，则显示注入失败，恢复程序原有功能。

优选地，实现所述组织文件高级权限信息的操作方法是通过调用SetEntriesInAcl函数（Windows API）将所述P1和P2中的数据融合在一起，形成新的高级权限信息。

优选地，实现所述组织文件高级权限信息的过程中，还包括用于设置允许在注入进程中读取以及执行权限的结构体数据，结合模拟设置高权限的步骤来模拟一个已知组SID的用户组，用来实现标识以及提升权限的操作。

优选地，将所述结构体数据和获取钩子（Hook）文件安全描述符步骤中已获得文件的安全描述符进行结合，生成一个新的文件安全描述符，所述新的文件安全描述符可以实现UWP程序的注入动作；

执行所述P4成功时，则显示注入成功，若执行所述P4失败时，则显示注入失败，恢复程序原有功能。

优选地，实现所述设置钩子文件高权限的安全描述符的方法是通过调用SetNamedSecurityInfo函数（Windows API）将P3中组织的钩子文件高级权限信息设置为钩子文件高权限的安全描述符，使钩子文件拥有高级权限，实现钩子文件的注入以及对目标进程权限进行管控的动作。

本发明中的有益效果为：

1、实现Universal Windows Platform程序的注入，实现Universal WindowsPlatform程序的管控，Universal Windows Platform的文件编辑器另存为的管控等，能够支持windows10/windows11文件数据的保护，现有的技术无法满足windows10/windows11上Universal Windows Platform程序数据的保护。

2、实现Universal Windows Platform程序的注入，核心是提升注入程序的权限，就需找到合适的可用户于模拟权限的用户/组，套用该用户/组的权限达到注入的效果，以实现在点击文本文档编辑器另存为时，另存为窗口一闪而逝，可以有效避免了文件在被打开的时候因为被‘另存为’而导致泄密的隐患，达到禁止另存为的目的，保护数据。

附图说明

图1为本发明提出的一种Windows10以及Windows11下基于UWP程序的注入方法的现有 UWP程序文本文档编辑器进程路径效果图；

图2为本发明提出的一种Windows10以及Windows11下基于UWP程序的注入方法的现有UWP程序文本文档编辑器文档另存效果图；

图3为本发明提出的一种Windows10以及Windows11下基于UWP程序的注入方法的现有技术程序注入实现流程图；

图4为本发明提出的一种Windows10以及Windows11下基于UWP程序的注入方法的Windows10/Windows11下实现UWP程序提权注入流程图；

图5为本发明提出的一种Windows10以及Windows11下基于UWP程序的注入方法的UWP程序注入方式实现流程图；

图6为本发明提出的一种Windows10以及Windows11下基于UWP程序的注入方法的UWP程序注入整体流程图；

图7为本发明提出的一种Windows10以及Windows11下基于UWP程序的注入方法的Windows11下自带的文本文档编辑器进程提权注入后对另存为的管控效果图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。

参照图3-7，一种Windows10以及Windows11下基于UWP程序的注入方法，如图3所示，在现有通用注入技术中，基于windows消息界面且非UWP程序都可以注入成功。而在windows10以及windows11系统中，例如在Windows11下自带的文本文档编辑器进程（notepad.exe）注入过程中，Windows10/Windows11提升了进程访问安全性的控制，尤其是Universal Windows Platform程序的注入。强制完整性控制 (MIC) 提供了一种机制来控制对安全对象的访问。此机制是对自主访问控制的补充，并在评估针对对象的自主访问控制列表(DACL) 的访问检查之前评估访问，在现有windows10以及windows11系统中的UWP程序注入如下所示：

具体流程是这样的：通过注入单元进行文本数据的注入，注入器单元110包括注入模块111，注入模块111是指一段可以将动态链接库DLL注入到另一个进程的程序，其功能是将钩子单元110中的某一模块注入到目标进程子系统200里，实现钩子函数全过程。

DLL的英语为Dynamic Link Library或者Dynamic-link library，动态链接库，是微软公司在微软视窗操作系统中实现共享函数库概念的一种实作方式；DLL是一个包含可由多个程序同时使用的代码和数据的库，DLL不是可执行文件；这些库函数的扩展名是DLL、OCX(包含ActiveX控制的库)或者DRV(旧式的系统驱动程序)；函数的可执行代码位于一个DLL中，该DLL包含一个或多个已被编译、链接并与使用它们的进程分开存储的函数；DLL还有助于共享数据和资源；多个应用程序可同时访问内存中单个DLL副本的内容；DLL是一个包含可由多个程序同时使用的代码和数据的库。

如图4所示，与图3中现有技术的区别在于：本系统改变现有技术的三种注入方式，使用提权注入的方式来实现Universal Windows Platform进程注入时提升权限的效果。

其中，现有技术中三种注入方式包括远程线程注入、异步过程调用注入、消息钩子注入。

与现有技术相比，本系统包括选择目标进程111A、选择注入的动态链接库111B、注入方式111C。其中，选择目标进程111A按进程名选择需要注入的进程；选择注入的动态链接库111B指定需要注入的DLL文件；选择注入方式111C提供了一种支持在Windows10/Windows11上对Universal Windows Platform程序注入方式，称之为提权注入。

提权注入的方式流程如图4所示：

提权注入包括P1、获取钩子（Hook）文件安全描述符后开始执行。若执行成功，则模拟设置高权限；若执行不成功，则显示注入失败，恢复程序原有功能。

其中，Hook：钩子，是Windows消息处理机制的一个平台，应用程序可以在上面设置子程以监视指定窗口的某种消息，而且所监视的窗口可以是其他进程所创建的；当消息到达后，在目标窗口处理函数之前处理它；钩子机制允许应用程截获处理window消息或特定事件；钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统；每当特定的消息发出，在没有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权；这时钩子函数即可以加工处理(改变)该消息，也可以不作处理而继续传递该消息，还可以强制结束消息的传递。

获取钩子Hook文件的安全描述符：通过调用GetNamedSecurityInfo函数（WindowsAPI）获取。

提权注入还包括P2、模拟设置高权限；模拟设置高权限111c2：通过调用ConvertStringSidToSid函数（Windows API）设置，将字符串格式的安全标识符SID，包括将S-1-15-2-1转换为有效的功能性SID，“S-1-15-2-1”是对Windows商店Universal WindowsPlatform程序具有高权限的用户组。

若执行成功，则执行P3；若执行不成功，则显示注入失败，恢复程序原有功能。

其中，模拟设置高权限：通过调用ConvertStringSidToSid函数（Windows API）设置，将字符串格式的安全标识符SID(“S-1-15-2-1”) 转换为有效的功能性安全标识符SID，“S-1-15-2-1”是对Windows商店Universal Windows Platform程序具有高权限的用户组。

这些安全标识符（SID）中，例如S-1-15-2-1：可应用于所有应用程序包，也被称为通用Windows应用程序。这涵盖了所有经典的Windows商店应用程序。使用这个SID为一个特定的应用程序授予对资源的访问权限。

P3、组织文件高级权限信息；若执行成功，则执行P4；若执行不成功，则显示注入失败，恢复程序原有功能。

其中，组织钩子文件高级权限信息：通过调用SetEntriesInAcl函数（WindowsAPI）将所述P1和P2中的数据融合在一起，形成新的高级权限信息，最终形成新的文件安全描述符。具体为：组织钩子文件高级权限信息111c3：通过调用SetEntriesInAcl函数（Windows API）将111c1和111c2的数据融合在一起，形成新的文件安全描述符。

实现组织文件高级权限信息的过程中，还包括用于设置允许在注入进程中读取以及执行权限的结构体数据，结合模拟设置高权限的步骤来模拟一个已知组SID的用户组，用来实现标识以及提升权限的操作。将所述结构体数据和获取钩子（Hook）文件安全描述符步骤中已获得文件的安全描述符进行结合，生成一个新的文件安全描述符，新的文件安全描述符可以实现UWP程序的注入动作。

P4、设置钩子文件高权限的安全描述符：通过调用SetNamedSecurityInfo函数（Windows API）将P3中组织的钩子文件高级权限信息设置为钩子文件高权限的安全描述符，使钩子文件拥有高级权限，实现钩子文件的注入以及对目标进程权限进行管控的动作。

安全描述符：包含和被保护对象相关联的安全信息的数据结构。安全描述符包括谁拥有对象，以何种方式访问以及何种审查访问类型等信息。安全描述符包含自主决定的访问控制表DACL，里面包含有访问控制项ACE，因此可以允许或拒绝特定用户或用户组的访问。它们还包含一个系统访问控制列表SACL以控制对象访问请求的日志logging。ACE可以显式应用于对象，或者从父对象继承。ACE的顺序在ACL中很重要，拒绝访问的ACE应该比允许访问的ACE更早出现。安全描述符还包含对象所有者。强制完整性控制（MIC）就是通过新类型的ACE在安全描述符上实现。

MIC使用完整性等级和强制性政策来评估访问。安全委托人和可安全的对象被分配了完整性级别，以确定其保护或访问级别。例如，具有低完整性级别的委托人不能写入具有中等完整性级别的对象，即使该对象的DACL允许对该委托人进行写入访问。

完整性标签指定了可安全的对象和安全委托人的完整性等级。完整性标签由完整性SID表示。一个可安全的对象的完整性SID被存储在其系统访问控制列表（SACL）中。SACL包含一个SYSTEM_MANDATORY_LABEL_ACE访问控制条目（ACE），它又包含完整性SID。任何没有完整性SID的对象被视为具有中等完整性。一个安全主体的完整性SID存储在其访问令牌中。一个访问令牌可以包含一个或多个完整性SID。

根据强制性完整性控制的规则，对象默认为只允许对中等完整性级别（IL）或更高的写入访问。应用程序容器在低IL下运行，所以它们默认没有对这种对象的写访问权。一个对象可以在其访问控制列表（ACL）中添加访问控制条目（ACE），以授予对低IL的访问。当一个对象扩展到低IL的访问时，可能会看到一些安全标识符（SID）。

基于以上分析，就是从Windows10开始对进程的访问提供了更加复杂的权限控制，当然是基于安全考虑；为了使我们的文件可以被Universal Windows Platform进程”看见”，在注入Universal Windows Platform进程的时候就需要提升权限，模拟一个权限高用户组协助我们实现注入。

然后，提权注入步骤完成后就会进入到钩子Hook单元120，包括内联钩子模块121、导入地址钩子模块122以及向量化异常处理钩子模块123。

最后，进入目标远程子系统200，用于钩子单元注入后实现钩子函数全过程，如图6所示。

其主要包括：目标进程子系统200，目标进程子系统200包括已注入的钩子单元210。与注入模块111、钩子单元120以及已注入的钩子单元210形成依次交互的关系。

上述工作机理为：

S1、用户首先在注入模块111中确定需要注入的目标进程子系统200，并选择钩子单元120中的某一模块。

其中，注入器单元110的完整功能需要注入模块111支持完成，注入模块111中，用户依次通过选择目标进程111A、选择注入的动态链接库111B、按注入方式111C完成DLL文件的注入工作后，此DLL文件将成为已注入的钩子单元210，实现Hook注入。

S2、在注入模块111里按指定的注入方式，注入模块111将进行注入操作，操作完成后被选择的钩子模块将成为已注入的钩子单元210，实现钩子函数全过程。

其中，实现钩子函数全过程为：

S21、选择目标进程；在选择目标进程111A中，以进程名为依据确定需要注入的进程，这一步确定了要钩取的目标进程子系统200，实现钩子函数全过程。

S22、选择注入的动态链接库；通过选择注入的动态链接库111B，用户自行指定待注入的动态链接库DLL文件；本系统的钩子单元120封装了三个动态链接库，每一个动态链接库都实现了不同且完整的Hook功能，实现时可选择任意一种。

S23、选择注入方式；通过选择注入方式111C，用户在系统提供的三种注入方式里选择，实现将步骤S22中用户所指定的动态链接库注入到步骤S21中所确定的目标进程子系统200，实现Hook注入，实现钩子函数全过程。

本发明实现了Universal Windows Platform程序的注入，实现UniversalWindows Platform程序的管控，Universal Windows Platform的文件编辑器另存为的管控等，支持windows10/windows11文件数据的保护，现有的技术无法满足windows10/windows11上Universal Windows Platform程序数据的保护。

同时，如图7所示，相比图2现有技术而言，本发明还实现了Universal WindowsPlatform程序的注入，核心是提升注入程序的权限，就需找到合适的可用户于模拟权限的用户/组，套用该用户/组的权限达到注入的效果，从而以实现在点击文本文档编辑器另存为时，另存为窗口一闪而逝，达到禁止另存为的目的，保护数据。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，根据本发明的技术方案及其发明构思加以等同替换或改变，都应涵盖在本发明的保护范围之内。

Claims (5)

1.一种Windows10以及Windows11下基于UWP程序的注入方法，包括：

步骤一、通过注入单元进行文本数据的注入，所述注入单元包括注入模块；所述注入模块包括目标进程以及选择需要注入的动态链接库DLL；

其特征在于：所述注入模块还包括将用户所指定的动态链接库DLL注入到所述目标进程中的注入方式，所述注入方式包括提权注入；

所述步骤一中的提权注入包括P1、获取钩子文件安全描述符后开始执行；

若执行成功，则执行P2、模拟设置高权限；

若执行不成功，则显示注入失败，恢复程序原有功能；

若P2执行成功，则执行P3、组织文件高级权限信息；

若执行不成功，则显示注入失败，恢复程序原有功能；

若P3执行成功，则执行P4、设置钩子文件高权限的安全描述符；

若执行不成功，则显示注入失败，恢复程序原有功能；

实现所述组织文件高级权限信息的过程中，还包括用于设置允许在注入进程中读取以及执行权限的结构体数据，结合模拟设置高权限的步骤来模拟一个已知组SID的用户组，用来实现标识以及提升权限的操作；

将所述结构体数据和获取钩子文件安全描述符步骤中已获得文件的安全描述符进行结合，生成一个新的文件安全描述符，所述新的文件安全描述符可以实现UWP程序的注入动作；

执行所述P4成功时，则显示注入成功，若执行所述P4失败时，则显示注入失败，恢复程序原有功能；

还包括步骤二、进入钩子单元；按所述注入方式完成所述动态链接库DLL的文件注入工作后，所述动态链接库DLL的文件将成为已注入的钩子单元；

步骤三、通过目标远程子系统实现钩子函数全过程。

2.根据权利要求1所述的一种Windows10以及Windows11下基于UWP程序的注入方法，其特征在于：实现所述获取钩子文件的安全描述符的方法是通过调用GetNamedSecurityInfo函数来实现获取动作的。

3.根据权利要求1所述的一种Windows10以及Windows11下基于UWP程序的注入方法，其特征在于：实现所述模拟设置高权限的操作方法是通过调用ConvertStringSidToSid函数设置，将字符串格式的安全标识符SID转换为有效的功能性 SID。

4.根据权利要求3所述的一种Windows10以及Windows11下基于UWP程序的注入方法，其特征在于：实现所述组织文件高级权限信息的操作方法是通过调用SetEntriesInAcl函数将所述P1和P2中的数据融合在一起，形成新的高级权限信息。

5.根据权利要求4所述的一种Windows10以及Windows11下基于UWP程序的注入方法，其特征在于：实现所述设置钩子文件高权限的安全描述符的方法是通过调用SetNamedSecurityInfo函数将P3中组织的钩子文件高级权限信息设置为钩子文件高权限的安全描述符，使钩子文件拥有高级权限，实现钩子文件的注入以及对目标进程权限进行管控的动作。

Images