windows - 如何在内核模式 Hook 中获取调用者 SID？ ( Windows )

Question

我正在开发一个 Hook Windows 中某些功能的驱动程序(强化驱动程序会阻止某些操作)。问题是，我想记录哪个用户试图运行这些操作。

例如，我在 ZwSetValueKey 上放置了一个钩子(Hook)以过滤注册表写入。

钩子(Hook)工作完美，但我不知道如何获取调用者 SID。我发现我可以使用 ExGetPreviousMode 确定调用者的模式(即用户模式或内核模式)。但是如果调用方处于用户模式，我不太确定如何确定 SID。

谢谢。

Answer 1

如果这是用户模式，您将从 GetCurrentProcess 或 GetCurrentThread 开始，然后调用 GetProcessToken 或 GetThreadToken。这会给你一个访问 token ，SID can be extracted直接地。在内核模型中，线程有PsGetCurrentProcess和ZwOpenProcessTokenEx等。

这是用户空间的等效问题:How to get Calling-Process Windows User Access Token .

我还没有测试过这个，但我希望它能让你开始。