악성코드에서 자신의 프로세스를 관리자의 권한으로 상승시키기위해 쓰이는 코드로 생각되며, 해당 api 쪽에서 CreateWellKnownSid, EqualSid 두가지 함수를 잘 봐야할것같다...사실 잘 모르는 함수;;ㅎㅎ 이 두개 머지..ㄷㄷ 하며 검색
아래 다음과 같은 내용을 참조하여 추측한다.
(참조 url : http://ddiggam.tistory.com/130)
-----------------------------------------------------------------------------------------
다음 내용은 윈도우즈 환경에서 "권한상승의 형태와 관리자 권한으로 수행되었는지의 여부를 확인하는 방법"에 대해서 설명하고 있습니다.
#include <stdio.h>
#include <windows.h>
#include <shlobj.h> // for IsUserAnAdmin() function.
#pragma comment(lib, "shell32.lib") // for IsUserAnAdmin() function.
BOOL GetProcessElevation(TOKEN_ELEVATION_TYPE *pElevationType, BOOL *pIsAdmin)
{
HANDLE hToken = NULL;
BOOL bResult = FALSE;
DWORD dwSize = 0;
// 현재 프로세스의 토큰을 얻는다.
if ( !OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken) )
return FALSE;
// 권한상승 형태에 대한 정보를 얻는다.
if ( GetTokenInformation(hToken, TokenElevationType, pElevationType, sizeof(TOKEN_ELEVATION_TYPE), &dwSize) )
{
BYTE adminSID[SECURITY_MAX_SID_SIZE];
dwSize = sizeof(adminSID);
// 관리자 그룹의 SID 값을 생성한다.
CreateWellKnownSid(WinBuiltinAdministratorsSid, NULL, &adminSID, &dwSize);
if ( *pElevationType == TokenElevationTypeLimited )
{
HANDLE hUnfilteredToken = NULL;
// 연결된 토큰의 핸들을 얻는다.
GetTokenInformation(hToken, TokenLinkedToken, (void *)&hUnfilteredToken, sizeof(HANDLE), &dwSize);
// 원래의 토큰이 관리자의 SID를 포함하고 있는지 여부를 확인한다.
if ( CheckTokenMembership(hUnfilteredToken, &adminSID, pIsAdmin) )
bResult = TRUE;
CloseHandle(hUnfilteredToken);
}
else
{
*pIsAdmin = IsUserAnAdmin();
bResult = TRUE;
}
}
CloseHandle(hToken);
return bResult;
}
int main(int argc, char **argv)
{
TOKEN_ELEVATION_TYPE t;
BOOL bAdmin = FALSE;
char szUser[0xFF] = {0};
DWORD dwUser = _countof(szUser);
GetUserName(szUser, &dwUser);
if ( GetProcessElevation(&t, &bAdmin) )
{
if ( bAdmin )
printf("%s is admin, ", szUser);
else
printf("%s is not admin, ", szUser);
switch (t)
{
case TokenElevationTypeDefault:
printf("기본 사용자이거나, UAC 기능이 OFF 된 상태임.\n");
break;
case TokenElevationTypeFull:
printf("권한상승되었음\n");
break;
case TokenElevationTypeLimited:
printf("필터된 토큰에 의해 제한된 권한으로 수행되었음.\n");
break;
default:
break;
}
}
return 0;
}
