送你一个BYPASS

原创

WZ
WZ

不吃猹的瓜

2026年5月5日 21:02
北京

在小说阅读器读本章

去阅读

在Windows上清理临时文件的时候发现, 系统会启动一个High权限的SystemSettingsAdminFlows.exe的进程, 命令行是:

\"C:\\Windows\\System32\\SystemSettingsAdminFlows.exe\" CleanmgrAdminHelper

点击删除文件的时候, 在ProcessMonitor中发现其运行时会试图启动一大堆不存在的exe,并且会在普通用户等环境变量路径中去寻找:

我们随便找一个exe放到环境变量的目录下, 重新清理临时文件:

很明显以High权限启动了我们拷贝过去的Windows.exe, 但是这些操作都是需要图形化界面去点击文件清理, 在实际环境中不是很方便, 通过这个调用栈我们发现这很可能是一个rpc/com接口:

先让AI对SettingsHandlers\_StorageSense.dll文件分析一下:

通过对当前在 IDA 中打开的文件 (SettingsHandlers\_StorageSense.dll) 的深度分析,文件中包含大量的 COM 和 WinRT 接口（主要用于 Windows 设置的 DataModel），核心的自定义 COM 接口包括：

• UICleanmgrAdminHelper / UICleanmgrHelper• AgentToolList• AgentToolMcpServerList• AgentToolCapabilityList• CStartupListSetting• CAppSizesFilter• CAppAdvancedInfoDynamicDatabase• CAppTileData• 大量的标准 WinRT 集合接口（如针对 ISettingItem 和 IInspectable 的 IVector, IIterable,IObservableVector 等）

通过对CreateProcessW的交叉引用（Xrefs）进行逆向追踪，共有3个COM对象的接口方法最终会调用到CreateProcessW：

UICleanmgrHelper接口：

• 触发路径：调用其Purge方法->内部调用CleanmgrHelper::\_ExecuteCmd -> CreateProcessW。

注：该接口通常由UICleanmgrAdminHelper::CreateCleanmgrHelper方法创建。

AgentToolList对象（实现了ISettingItem等接口）：

• 触发路径：调用其DoGetValueAsyncWork方法-> GetUnfilteredMcpClientInfo -> CreateProcessW。

AgentToolMcpServerList对象：

• 触发路径：调用其DoGetValueAsyncWork方法-> GetUnfilteredMcpServerDefinitions -> ExecuteOdrCommand -> CreateProcessW。

看起来是有进程创建的接口的, 但是让AI给一个最小Demo编译运行时发现有问题, z在分析这个com接口之前忘记确认这个接口是不是可以跨进程调用的了....实际确认发现不是跨进程调用的, 是In-Proc的; 于是让AI直接分析SystemSettingsAdminFlows.exe:

通过对 SystemSettingsAdminFlows.exe 的逆向分析，以下是关于 {A7246883-0625-4321-94D2-A9B121E7E63A}接口运作机制的完整剖析：

1.这个CLSID并不在DLL内部实现

{A7246883-0625-4321-94D2-A9B121E7E63A}是专属于SystemSettingsAdminFlows.exe (管理员提权服务进程)的CLSID。它被硬编码在EXE中，作为进程外服务器(Out-of-Proc Server)暴露给系统。

2.它的真实作用：权限“跳板”(Proxy / Broker)

当我们在SystemSettingsAdminFlows.exe的RunComServerFlowWork函数中看到它的行为时，会发现如下逻辑：

•EXE启动后，它调用GetRunningObjectTable和CreateClassMoniker。

• 它将自身实现的CCleanmgrAdminHelper对象以CLSID {A7246883-0625...}注册到系统的运行对象表(ROT)中。

3.当客户端调用时的调用链

如果通过CoCreateInstance请求这个CLSID，请求会被路由到正在以管理员权限运行的SystemSettingsAdminFlows.exe进程中。

当在客户端拿到接口并调用CreateCleanmgrHelper(UICleanmgrHelper\\)时，SystemSettingsAdminFlows.exe的内部实现如下：

HRESULT __fastcallCCleanmgrAdminHelper::CreateCleanmgrHelper(    CCleanmgrAdminHelper *this,    LPVOID *ppv){// CLSID_CleanmgrHelper = {4E781F7F-9430-4F56-A233-70E6E0AC1AF9}// IID_UICleanmgrHelper = {77a2017f-02e9-467f-b9a5-7ed80aadd8b8}return CoCreateInstance(               &CLSID_CleanmgrHelper,               0,               CLSCTX_INPROC_SERVER,                &IID_UICleanmgrHelper,               ppv);}

1.接口在哪：{A7246883-0625-4321-94D2-A9B121E7E63A}这个CLSID完全在SystemSettingsAdminFlows.exe内部实现，用来接收外部进程的请求。

2.代理实例化：一旦请求到达，高权限的EXE会调用底层的CoCreateInstance({4E781F7F-9430-4F56-A233-70E6E0AC1AF9})。

3.加载DLL：{4E781F7F...}才是真正在SettingsHandlers\_StorageSense.dll中实现的In-Proc服务器！这意味着这个DLL会被强行加载到高权限的EXE进程内存空间中。

4.最终提权：在普通权限的客户端获取到的UICleanmgrHelper代理，其真正的宿主是管理员权限的SystemSettingsAdminFlows.exe。当在客户端调用Purge，RPC会将调用封装并发送给EXE处理，EXE再调用DLL内部的代码，从而在Admin上下文里触发CreateProcessW。

最终让AI整理一下给出Demo编译后, 在Win10和Win11下都可以正常运行: