windows - 如何 Hook Windows 中的本地帐户创建？

Question

我正在尝试 Hook 本地帐户创建并在需要时阻止它(我正在构建一个小型安全工具，它甚至可以阻止管理员乱搞配置)。

我已经知道我必须注入(inject) LSASS，但我不太确定我需要绕过的确切功能是什么。目前我正在 XP SP3 上进行测试，但我正在寻找一种适用于从 XP 到 8 的所有 Windows 的解决方案。

我试图绕过 SAM 的函数 SamrCreateUserInDomain，但是当我使用 lusrmgr.msc 创建本地用户时它没有被调用。我也尝试过 LsarCreateAccount。但它还没有被调用。

我想我可能需要挂接一些 Active Directory 功能，但我不确定是哪个。

有什么帮助吗？

Answer 1

我已经解决了我的问题。我钩错了函数。

我应该 Hook SAM 的 SamrCreateUser2InDomain，而不是 SamrCreateUserInDomain。

修复该问题，一切正常。