在NT服务中需要判断当前系统是否为注销状态，请教如何是实现阿 如题，百分求助 解决方案 » 免费领取超大流量手机卡，每月29元包185G流量+100分钟通话, 中国电信官方发货 没有很直接的方法你可以在winlogon桌面查找有没有标题为"登录"的窗口来判断先用OpenDesktop得到winlogon桌面的句柄再用EnumDesktopWindows来枚举登录窗口还可以写winlogon notification package来得到注销事件的通知 “Winlogon通知包(Winlogon Notification Package)”就是处理winlogon在切换状态时发出的事件的DLL。你可以通过“Winlogon Notification Package”来监视winlogon事件的响应。你可以注册这些DLL，那么winlogon.exe会在启动时加载它们，并且会在系统状态切换时来调用注册DLL的事件处理函数。当然这一点用来加载后门是在好不过了，因为加载的后门存在于winlogon.exe的进程中，而winlogon.exe是系统进程，一般情况下是无法终止它的，况且杀死它会导致系统崩溃或重启，没人会这么做。用“Winlogon Notification Package”来加载后门的又一个好处是——你的后门将运行在system权限下而不用注册为系统服务。 为了注册你的“Winlogon Notification Package”，必须在“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify”下创建你的“notification package”子键。在我的系统中，存在6个子键，分别是：crypt32chain，cryptnet，cscdll，sclgntfy，SensLogn，termsrv。在“Notify”项下，可以根据需要创建如下键值：Asynchronous[REG_DWORD]：表明是否异步处理winlogon事件，如设为 1，winlogon将启动一个新线程来处理。DllName[REG_EXPAND_SZ]：指定要加载的DLL名。Impersonate[REG_DWORD]：表明是否以登陆用户的权限来处理事件。Lock[REG_SZ]：锁定桌面事件。Logoff[REG_SZ]：注销事件。Logon[REG_SZ]：登陆事件。Shutdown[REG_SZ]：关机事件。StartScreenSaver[REG_SZ]：启动屏保事件。StartShell[REG_SZ]：启动shell（一般指explorer.exe）事件。Startup[REG_SZ]：系统开机事件。StopScreenSaver[REG_SZ]：停止屏保事件。Unlock[REG_SZ]：解除桌面锁定事件。其中每个事件对应DLL中的一个导出函数，即每当有事件发生时，winlogon.exe便调用相应的函数。譬如：DllName的值为“test.dll”，Logoff的值为“testlogoff”，那么系统注销时winlogon.exe将调用test.dll中导出的“testlogon”函数。 关于DLL的实现非常地简单：只要导出处理事件是要调用的函数就行，其他和别的DLL无异。以下是代码的简单实现：//----------------------------------Start of WNP.C-------------------------------------------/*Create file exports.def with content:EXPORTS testlogoff testlogon*/#include <windows.h>#pragma comment(linker,"/export:test=_testlogoff@0")#pragma comment(linker,"/export:test=_testlogon@0")#pragma comment(linker,"/entry:DllEntry")#pragma comment(linker,"/subsystem:windows")#pragma comment(linker,"/align:4096")#pragma comment(linker,"/dll")#pragma comment(linker,"/base:1976369152")typedef struct _WLX_NOTIFICATION_INFO { ULONG Size; ULONG Flags; PWSTR UserName; PWSTR Domain; PWSTR WindowStation; HANDLE hToken; HDESK hDesktop; PFNMSGECALLBACK pStatusCallback;} WLX_NOTIFICATION_INFO, *PWLX_NOTIFICATION_INFO;__declspec(dllexport) void __stdcall testlogoff(PWLX_NOTIFICATION_INFO unknow){ MessageBox(NULL,"系统正在注销!","Winlogon Notification Package",MB_OK);}__declspec(dllexport) void __stdcall testlogon(PWLX_NOTIFICATION_INFO unknow){ MessageBox(NULL,"系统正在登陆!","Winlogon Notification Package",MB_OK);}BOOL __stdcall DllEntry(HANDLE hModule,DWORD ul_reason_for_call,LPVOID lpReserved){ switch (ul_reason_for_call) { case DLL_PROCESS_ATTACH:break; case DLL_THREAD_ATTACH:break; case DLL_THREAD_DETACH:break; case DLL_PROCESS_DETACH:break; }return TRUE;}//----------------------------------End of WNP.C--------------------------------------------- 我是通过列举进程中有没有explore.exe这个进程来实现这样的功能的. 那要是别人不使用explorer.exe作为shell呢? 服务进程是无法通过GetUserName来获取当前用户的 查找有没有标题为"登录"的方法不可取，不同语言的操作系统标题不一样，利用Winlogon通知包需要对系统进行修改也不是很好的方法，查看当前的用户我也想过，但GetUserName得不到当前登录的用户，而得到的是是SYSTEM。真的就没有一种简单有效地方法吗？ 用Winlogon Notification Package只能在WIN2K、XP下使用，在NT4下不支持。 并注册注销函授。hook ntcreatetoken 登陆SeRegisterLogonSessionTerminatedRoutine( HookLogoff );退出/切换用户。 winlogonhook ntcreatetoken.SeRegisterLogonSessionTerminatedRoutine( HookLogoff ); 找到一个方法通过调用本机安全授权服务 (LSASS) 提供的 LsaEnumerateLogonSessions 函数枚举当前登陆会话，对每个会话调用 LsaGetLogonSessionData 函数获取进一步的会话信息 感谢tabris17，我开始以为这确实是一个好方法，但是没想到的是，注销后session信息都不变，而每次注销后登录session都会递增，怎么办啊，愁死了。 获取winlogon.exe的进程ID，若用户注销后再重新登录，winlogon.exe的ID一般和上次的应该不同 如果你不想用“查找登录窗口”或“列举进程中有没有explore.exe”这些讨巧的方法的话，也许只能用Winlogon Notification Package或GINA DLL了 还有就是，如果有终端用户登录，系统会启动第二个winlogon.exe进程，你要区分一下 一个 10004 错误的问题 ,帮忙看看code，谢谢。 可以,给分给邮箱 用VC直接读取数据库产生的xml的问题 CListCtrl的标题栏颜色，怎么改变？谢谢 上海技展信息科技有限公司的朋友请帮帮忙 请问在vc中怎么得到某个数据库中某个表的各个字段的名称 有用过——国产——嵌入实时操作系统——DeltaOS——的，进来谈谈感受。进者有分。：） 询问关于SMTP验证的问题，知道的朋友请进！ 好奇怪！ vs 2005多个实例打开一个文件会自动变更文件名大小写！！！ Tree控件的使用 NetTalk视频聊天源码共享[VC++]
再用EnumDesktopWindows来枚举登录窗口
还可以写winlogon notification package来得到注销事件的通知
DllName[REG_EXPAND_SZ]：指定要加载的DLL名。
Impersonate[REG_DWORD]：表明是否以登陆用户的权限来处理事件。
Lock[REG_SZ]：锁定桌面事件。
Logoff[REG_SZ]：注销事件。
Logon[REG_SZ]：登陆事件。
Shutdown[REG_SZ]：关机事件。
StartScreenSaver[REG_SZ]：启动屏保事件。
StartShell[REG_SZ]：启动shell（一般指explorer.exe）事件。
Startup[REG_SZ]：系统开机事件。
StopScreenSaver[REG_SZ]：停止屏保事件。
Unlock[REG_SZ]：解除桌面锁定事件。其中每个事件对应DLL中的一个导出函数，即每当有事件发生时，winlogon.exe便调用相应的函数。譬如：DllName的值为“test.dll”，Logoff的值为“testlogoff”，那么系统注销时winlogon.exe将调用test.dll中导出的“testlogon”函数。 关于DLL的实现非常地简单：只要导出处理事件是要调用的函数就行，其他和别的DLL无异。以下是代码的简单实现：//----------------------------------Start of WNP.C-------------------------------------------
/*Create file exports.def with content:
EXPORTS
testlogoff
testlogon
*/
#include <windows.h>
#pragma comment(linker,"/export:test=_testlogoff@0")
#pragma comment(linker,"/export:test=_testlogon@0")
#pragma comment(linker,"/entry:DllEntry")
#pragma comment(linker,"/subsystem:windows")
#pragma comment(linker,"/align:4096")
#pragma comment(linker,"/dll")
#pragma comment(linker,"/base:1976369152")typedef struct _WLX_NOTIFICATION_INFO { ULONG Size; ULONG Flags; PWSTR UserName; PWSTR Domain; PWSTR WindowStation; HANDLE hToken; HDESK hDesktop; PFNMSGECALLBACK pStatusCallback;
} WLX_NOTIFICATION_INFO, *PWLX_NOTIFICATION_INFO;__declspec(dllexport) void __stdcall testlogoff(PWLX_NOTIFICATION_INFO unknow)
{
MessageBox(NULL,"系统正在注销!","Winlogon Notification Package",MB_OK);
}__declspec(dllexport) void __stdcall testlogon(PWLX_NOTIFICATION_INFO unknow)
{
MessageBox(NULL,"系统正在登陆!","Winlogon Notification Package",MB_OK);
}BOOL __stdcall DllEntry(HANDLE hModule,DWORD ul_reason_for_call,LPVOID lpReserved)
{
switch (ul_reason_for_call)
{
case DLL_PROCESS_ATTACH:break;
case DLL_THREAD_ATTACH:break;
case DLL_THREAD_DETACH:break;
case DLL_PROCESS_DETACH:break;
}return TRUE;
}
//----------------------------------End of WNP.C---------------------------------------------
hook ntcreatetoken 登陆
SeRegisterLogonSessionTerminatedRoutine( HookLogoff );退出/切换用户。
hook ntcreatetoken.
SeRegisterLogonSessionTerminatedRoutine( HookLogoff );