Internet Explorer（IE11）如何在不使用CreateProcess调用的情况下创建低完整性子进程

Question

我想知道Internet Explorer如何在不调用CreateProcess API的情况下创建低完整性不受信任的沙盒子进程。

这是我尝试的：

在Windbg中打开了可执行文件（iexplore.exe）。 在初始BP命中时，我在Kernel32！Cre​​ateProcessA处设置了一个断点。 然后，我只是让主要的IE进程运行。 我可以看到它是在进程浏览器/进程黑客实用程序中创建的沙盒子进程（低完整性子进程iexplore.exe），但它没有触及CreateProcess断点。

我想知道IE是如何做到的。

Answer 1

Kernel32!CreateProcessA在链的顶部，并且是包装，用于在链的更下方进行调用

跨越用户usermode kernelmode border is ntdll!NtCreateProcessEx的最后一个调用usermode kernelmode border is ntdll!NtCreateProcessEx api形式的usermode kernelmode border is ntdll!NtCreateProcessEx ，黑客可通过设置堆栈并calling sysenter directly来深入挖掘并跨越边界

尝试在kernel32!CreateProcessW / kernel32!CreateProcessInternal Advapi32!CreateProcessAsUser / ntdll!ntCreateProcessEx等中设置断点