Duplicar Handle de um objeto do csrss.exe

[Ryokusei 28]

Preciso usar DuplicateHandle em um handle pertencente ao processo csrss.exe. No entanto, OpenProcess(PROCESS_DUP_HANDLE, False, csrssPId) retorna 0, e GetLastError retorna 5 (Access Denied). Como posso resolver isso? Já me setei com SeDebugPrivilege, rodei o code em um processo com privilégio de usuário SYSTEM e não consegui.

Sempre o PId do csrss.exe está correto.

 

No MSDN,

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

diz que falha para System Idle Process e csrss.exe, porque user-level code não pode acessá-los. No entanto, vejo codes pela internet que fazem exatamente o mesmo que eu e pelo visto conseguem (nunca vi um screenshot de resultado ou rodei um .exe que mostrasse). Seria necessário trabalhar em ring 0 ou procurar uma maneira de forçar um SYSENTER para me retornar o handle do processo alvo?

[open|Fire 0]

Preciso usar DuplicateHandle em um handle pertencente ao processo csrss.exe. No entanto, OpenProcess(PROCESS_DUP_HANDLE, False, csrssPId) retorna 0, e GetLastError retorna 5 (Access Denied). Como posso resolver isso? Já me setei com SeDebugPrivilege, rodei o code em um processo com privilégio de usuário SYSTEM e não consegui.

Sempre o PId do csrss.exe está correto.

 

No MSDN,

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

diz que falha para System Idle Process e csrss.exe, porque user-level code não pode acessá-los. No entanto, vejo codes pela internet que fazem exatamente o mesmo que eu e pelo visto conseguem (nunca vi um screenshot de resultado ou rodei um .exe que mostrasse). Seria necessário trabalhar em ring 0 ou procurar uma maneira de forçar um SYSENTER para me retornar o handle do processo alvo?

 

Ring 0 pra isso não é necessário o OllyDBG consegue o attach no csrss.exe, e ele não funciona em ring 0, o erro deve estar em como você esta usando SeDebugPrivilege.

 

Caso ainda não tenha resolvido mostra o source que eu posso ajudar, caso não queira por aqui pode mandar por pm flw.