四、通过管理员创建进程的流程
在第一篇中大致了解了每一个进程都有一个权限之后，这里简单了解一下管理员进程的创建。
https://github.com/xyddnljydd/PassUAC
首先来感受一下进程的创建步骤：
1、右键管理员启动一个进程
2、会弹出一个对话框，询问用户是否要以管理员的身份打开进程
3、当点击是之后会打开一个管理员身份创建的进程，点击否则什么也没有发生一样，且进程树也是挂载explore下面的
4、实际真的是这么简单的吗？explore创建一个弹窗，询问用户是否要创建进程，得到用户的许可之后创建管理员身份的进程？这里要既然要做验证可以直接附加到explore进程上面去，对ntdll!NtCreateUserProcess下一个断点就行了。
5、可以发现这个弹窗出来了，但是没有断下，说明创建这个对话框的进程并不是explore，那是什么进程？
6、最简单的当时写一个进程回调的驱动，看一下是谁创建的，但是有的兄弟对驱动开发不是很了解，所以这里利用ProcMon来监控一下，”犯人“是谁？从下图中可以看到是svchost进程启动了consent进程，从进程的描述大致也能知道就是用来画界面的。
7、现在知道了是svchost创建的，但是这个是系统的服务我们该如何去分析这个东西，这里在拓展一些知识，不知道小伙伴有没有写过服务程序，就是用scm系列的api注册一个服务，然后启动，可以选择开机启动还是手动启动。其中有一些服务叫做共享服务，这类服务通常是dll，而加载这些服务的就是svchost进程。
8、那么从上述描述中我们知道了Svchost就是弹出对话框的那个进程，其中Svchost中的某个服务完成了上面的操作，那么直接附加到该进程，下断点就能知道到底是那个dll在处理这些流程，从下面的栈中得到了两个有用的信息。
1）处理UAC事件的服务是appinfo这个共享进程（这里面有很多细节，没有说，比如对话框它等待多久之后会消失，哪些白名单不弹框之类的，感兴趣可以自己去看一下）
2）appinfo服务是通过RPC接收和发送事件的（其实是ALPC，但是ALPC是RPC的子类）
9、那么思路也逐渐清晰起来，当用户右键管理员创建进程的时候，explore会发送一个RPC事件给appinfo这个服务进程，当appinfo收到这个事件之后会创建一个对话框询问是否真的要创建一个进程，当用户点击是之后，才将进程真正的创建起来，下图是函数第二次断下的时候，可以看到，在我点击是之后appinfo以管理身份创建了KmdManager进程
10、既然能够通过RPC的方式发送请求，那么我们是否可以不通过explore，直接给appinfo发消息，创建进程，当然是可以的，这块只需要定义函数的原型，将它写入到一个idl文件和acf文件，就能直接使用了，查找函数原型和idl的定义在之前写的文件替换漏洞有说明，这里就不在赘述了，定义的idl文件如下
[
uuid(201ef99a-7fa0-444c-9399-19ba84f12a1a),
version(1.0),
]
interface boo
{
typedef struct _MONITOR_POINT {
long MonitorLeft;
long MonitorRight;
} MONITOR_POINT;
typedef struct _APP_STARTUP_INFO {
wchar_t* lpszTitle;
long dwX;
long dwY;
long dwXSize;
long dwYSize;
long dwXCountChars;
long dwYCountChars;
long dwFillAttribute;
long dwFlags;
short wShowWindow;
struct _MONITOR_POINT MonitorPoint;
} APP_STARTUP_INFO;
typedef struct _APP_PROCESS_INFORMATION {
unsigned __int3264 ProcessHandle;
unsigned __int3264 ThreadHandle;
long ProcessId;
long ThreadId;
} APP_PROCESS_INFORMATION;
long RAiLaunchAdminProcess(
handle_t hBinding,
[in][unique][string] wchar_t* ExecutablePath,
[in][unique][string] wchar_t* CommandLine,
[in]long StartFlags,
[in]long CreationFlags,
[in][string] wchar_t* CurrentDirectory,
[in][string] wchar_t* WindowStation,
[in]struct _APP_STARTUP_INFO* StartupInfo,
[in]unsigned __int3264 hWnd,
[in]long Timeout,
[out]struct _APP_PROCESS_INFORMATION* ProcessInformation,
[out]long* ElevationType);
}11、接口的定义处理好之后来看一看我们感兴趣的参数，其实就是第三个参数StartFlags，这个标志位代表是按照管理员方式启动一个进程还是非管理员，0是非管理员。
12、好了这里我们直接把flag改为1，启动进程试试看，会发现还是有UAC的弹窗出现，置为0虽然能创建进程，但是是一个非管理员权限的进程，也没有什么用（想要尝试的话，只想要把github上的代码拉下来调用对应的AicLaunchAdminProcess函数就行）
13、最后就写到这里，具体怎么利用之后“有时间”再说