跨进程内存读取, 附源码

最新推荐文章于 2024-07-02 19:45:00 发布
最新推荐文章于 2024-07-02 19:45:00 发布
阅读量2.0k 收藏 1
点赞数
分类专栏： PEDIY 文章标签： integer descriptor null byte header resources
【原创】跨进程内存读取, 附源码
作 者: StNOe
时 间: 2009-06-26,21:24:18
链 接: http://bbs.pediy.com/showthread.php?t=92353
在科锐学习的第4阶段, 保护模式课后作业,跨进程内存读写的小工具.

第一次内核编程,代码写的比较乱,不免也有些错误.各位牛哥们,见笑乐,!时间仓促,也没对代码进程封装,和界面相关太多.
1.  切换目标进程的CR3
      通常,跨进程读写内存,用到ReadProcessMemory, WriteProcessMemory, 但需要进程句柄,如果目标进程受到保护,可能获得进程句柄会失败.
      ReadProcessMemory最后会调用到KeStackAttachProcess附加到目标进程上切换进程环境进行拷贝的, 所以想到拿到目标进程的虚拟内存内容,可以将目标进程的页目录基地址放入CR3中即可.

首先要获得目标进程的cr3寄存器,即页目录基地址(开启PAE, 页目录指针表),
每个进程在内核里都有一个EPROCESS结构.
代码: 
nt!_EPROCESS
   +0x000 Pcb              : _KPROCESS
   +0x06c ProcessLock      : _EX_PUSH_LOCK
   +0x070 CreateTime       : _LARGE_INTEGER
   +0x078 ExitTime         : _LARGE_INTEGER
   +0x080 RundownProtect   : _EX_RUNDOWN_REF
   …….
Pcb中就有我们想要得到的CR3
代码: 
nt!_KPROCESS
   +0x000 Header           : _DISPATCHER_HEADER
   +0x010 ProfileListHead  : _LIST_ENTRY
   +0x018 DirectoryTableBase : [2] Uint4B
   +0x020 LdtDescriptor    : _KGDTENTRY
   +0x028 Int21Descriptor  : _KIDTENTRY
   ………
那只需要获得目标进程EPROCESS就可以得到CR3了
遍历EPROCESS里的ActiveProcessLinks 的链表获取指定进程的EPROCESS

代码: 
// 获得当前进程EPROCESS信息
            ULONG uEprocess = 0;
            __asm
            {
                mov eax, fs:[0x124]    // _ethread
                mov eax, [eax+0x44]    // _kprocess
                mov uEprocess, eax
            }

            KdPrint(("EPROCESS: 0x%08x\n", uEprocess));
            LIST_ENTRY ListHead;
            InitializeListHead(&ListHead);

            ULONG uFirstEprocess = uEprocess;
            ULONG uCount = 0;
            PLIST_ENTRY pActiveProcessLinks;
            ProcessInfoList *pProcssList = NULL;

            ULONG uNameOffset = GetPlantformDependentInfo(FILE_NAME_OFFSET);
            ULONG uPidOffset = GetPlantformDependentInfo(PROCESS_ID_OFFSET);
            ULONG uLinkOffset = GetPlantformDependentInfo(PROCESS_LINK_OFFSET);
            ULONG uExitTime = GetPlantformDependentInfo(EXIT_TIME_OFFSET);
            // 遍历链表获得进程信息
            do 
            {
                
                pProcssList= 
                    (ProcessInfoList *)ExAllocatePool(PagedPool, sizeof(ProcessInfoList));
                if (pProcssList == NULL)
                {
                    status = STATUS_INSUFFICIENT_RESOURCES;
              break;
                }

                PLARGE_INTEGER ExitTime;
                ExitTime = (PLARGE_INTEGER)(uEprocess + uExitTime);
                if (ExitTime->QuadPart == 0)
                {
                    if (*(int *)(uEprocess + uPidOffset) <= 0)
                    {
                        pProcssList->ProcInfo.uProcessId = 0;
                        pProcssList->ProcInfo.uEprocess = uEprocess;
                        pProcssList->ProcInfo.uCR3 = *(PULONG)(uEprocess + 0x18);
                        RtlCopyMemory(pProcssList->ProcInfo.pszImageFileName, "Idle", 16);
                        InsertHeadList(&ListHead, &pProcssList->ListEntry);
                        KdPrint(("PID: %d, EPROCESS: 0x%08x, FileName: %s, CR3: 0x%08x\n",
                            pProcssList->ProcInfo.uProcessId,
                            pProcssList->ProcInfo.uEprocess,
                            pProcssList->ProcInfo.pszImageFileName,
                            pProcssList->ProcInfo.uCR3));
                    }
                    else
                    {

                        pProcssList->ProcInfo.uEprocess = uEprocess;
                        pProcssList->ProcInfo.uCR3 = *(PULONG)(uEprocess + 0x18);
                        pProcssList->ProcInfo.uProcessId = *(PULONG)(uEprocess + uPidOffset);
                        RtlCopyMemory(pProcssList->ProcInfo.pszImageFileName, 
                            (PVOID)(uEprocess + uNameOffset), 
                            16);
                        InsertHeadList(&ListHead, &pProcssList->ListEntry);
                        KdPrint(("PID: %d, EPROCESS: 0x%08x, FileName: %s, CR3:  0x%08x\n",
                            pProcssList->ProcInfo.uProcessId,
                            pProcssList->ProcInfo.uEprocess,
                            pProcssList->ProcInfo.pszImageFileName,
                            pProcssList->ProcInfo.uCR3));


                    }
                    uCount++;
                }

                pActiveProcessLinks = (PLIST_ENTRY)(uEprocess + uLinkOffset);
                uEprocess = (ULONG)pActiveProcessLinks->Blink - uLinkOffset;


                if (uEprocess == uFirstEprocess)
                {
                    break;
                }
            } while (uEprocess != 0);
   引用了北极星2003大哥的GetPlantformDependentInfo 获取EPROCESS的成员偏移
 
   下面是读写内存的:
代码: 
            _try
            {
                WriteMemoryInfo *pInfo = 
                    (WriteMemoryInfo *)ExAllocatePool(PagedPool, sizeof(WriteMemoryInfo));

                RtlCopyMemory(pInfo, pIoBuffer, sizeof(WriteMemoryInfo));

                PVOID pWrite =  ExAllocatePool(PagedPool, pInfo->nWriteSize);

                RtlCopyMemory(pWrite, pInfo->pData, pInfo->nWriteSize);
                //pInfo->pData = (PBYTE)ExAllocatePool(PagedPool, pInfo->nWriteSize);
                ULONG uOldCr3 = 0;
                ULONG uCurrentCr3 = *(PULONG)(pInfo->nEprocess + 0x18);
                if (pInfo->nMemoryAddr == 0)
                {
                    status = STATUS_UNSUCCESSFUL;
                    break;
                }
                __asm
                {
                    mov eax, cr3
                    mov uOldCr3, eax

                    mov eax, uCurrentCr3
                    mov cr3, eax
                }

                __asm
                {
                    cli
                    push eax
                    mov eax, cr0
                    and eax, not 10000h
                    mov cr0, eax
                }

                RtlCopyMemory((PVOID)pInfo->nMemoryAddr, 
                    pWrite, pInfo->nWriteSize);

                __asm

                {
                    mov eax, CR0
                    or eax, 10000h
                    mov cr0,eax
                    pop eax
                    sti

                }
                __asm
                {
                    mov eax, uOldCr3
                    mov cr3, eax
                }


                uOutSize = pInfo->nWriteSize;
                if (pInfo != NULL)
                {

                    ExFreePool(pInfo);
                    pInfo = NULL;
                }
                // Return success
                status = STATUS_SUCCESS;
            }
            __except(1)
            {
                status = STATUS_UNSUCCESSFUL;
            }
代码: 
            __try
            {   
                ReadMemoryInfo *pInfo = 
                    (ReadMemoryInfo *)ExAllocatePool(PagedPool, sizeof(ReadMemoryInfo));
                RtlCopyMemory(pInfo, pIoBuffer, sizeof(ReadMemoryInfo));
                ULONG uOldCr3 = 0;
                ULONG uCurrentCr3 = *(PULONG)(pInfo->nEprocess + 0x18);
                if (pInfo->nMemoryAddr == 0)
                {
                    status = STATUS_UNSUCCESSFUL;
                    break;
                }
                __asm
                {
                    mov eax, cr3
                    mov uOldCr3, eax

                    mov eax, uCurrentCr3
                    mov cr3, eax

                }
                RtlCopyMemory(pIoBuffer, 
                    (PVOID)pInfo->nMemoryAddr ,pInfo->nReadSize);
                uOutSize = pInfo->nReadSize;
                __asm
                {
                    mov eax, uOldCr3
                    mov cr3, eax
                }

                if (pInfo != NULL)
                {
                    ExFreePool(pInfo);
                    pInfo = NULL;
                }
                // Return success
                status = STATUS_SUCCESS;
            }
            __except(1)
            {
                status = STATUS_UNSUCCESSFUL;
            }
2. 根据分页机制,进行手工转换,得到虚拟地址的映射的物理地址,读其物理地址得到目标进程虚拟地址的内容.详见附件分析.

获得了CR3,,接下来,就是根据分页机制,把虚拟地址转换为物理地址勒.
在转换之前要判断是否开启PAE,非PAE和开启PAE的转换有所不同
控制寄存器CR4的第5位标记是否开启PAE
代码: 
// 获得CR4的值
__asm
{
      _emit 0x0F 
      _emit 0x20
      _emit 0xE0
      mov uCR4, eax
}
未开启PAE情况
通过CR3寄存器定位到页目录的基地址
线性地址的高10位作为获取页目录表项的索引, 获得一个页目录的一个表项
注: windows的保护实现基本不使用分段机制,主要是通过分页机制来实现保护,这里的就线性地址等于虚拟地址.
代码: 
// 获得页目录表项(PDE)
dwPageDirIndex = (dwVirtualAddr & 0xffc00000) >> 22;
DWORD dwPageDirEntry = ReadPageDirEntryNoPAE(dwPageDirIndex);
if (dwPageDirEntry == 0)
{
    return;
}

根据PDE获得页表基地址或者页基地址
当没有开启PAE时,有两种PDE格式, 分别指向4KB的页表,和4MB的内存页
名称: 1.jpg 查看次数: 3694 文件大小: 19.3 KB
名称: 819373657206152704.jpg 查看次数: 3692 文件大小: 17.4 KB

页目录项的第7位判断页大小
代码: 
// 获得页大小
DWORD CReadMemoryDlg::GetPageSizeNoPAE(DWORD dwAddr)
{
    if ((dwAddr & 0x00000080) == 0x00000080)
    {
        return MBSIZE;
    }
    else
    {
        return KBSIZE;
    }
}
4KB时, 页目录项的高20位为页表基地址.线性地址的12位到21位作为选取页表的一个表项.(PTE)
名称: 3.jpg 查看次数: 3693 文件大小: 42.9 KB

代码: 
dwPageTableIndex = (dwVirtualAddr & 0x0003ff000) >> 12;
DWORD dwPageTableBaseAddr = dwPageDirEntry & 0xfffff000;
// 获得页表
DWORD dwPageTable = ReadPageTableNoPAE(dwPageTableBaseAddr, 
                        dwPageTableIndex);
if (dwPageTable == 0)
{
     return;
}
if (IsPresentNoPAE(dwPageTable) == FALSE)
{
     return;
}
取PTE的高20位,作为内存页的基地址,线性地址的低12作为页中偏移得到物理地址
代码: 
// 页的基地址
DWORD dwPageBaseAddr = dwPageTable & 0xfffff000;
dwPageOffset = dwVirtualAddr & 0x00000fff;
这时获得的物理地址就是想要的目标进程虚拟地址的映射的物理地址
代码: 
PVOID pReadBuf = new BYTE[dwReadSize];
                
BOOL bRet = ReadPageMemoryNoPAE(pReadBuf, 
                    dwPageOffset, 
                    dwReadSize, 
                    dwPageBaseAddr);
if (bRet == FALSE)
{
      return;
}
4MB时,页目录项的高10位作为页的基地址, 线性地址的低22位在物理地址在页中的偏移
名称: 4.jpg 查看次数: 3681 文件大小: 24.3 KB


代码: 
// 线性地址的低22位是页内偏移
DWORD dwPageOffsetMB = dwVirtualAddr & 0x003fffff;
// 高10位,是页基地址
DWORD dwPageBaseAddr = dwPageDirEntry & 0xffc00000;
这时获得的物理地址就是想要的目标进程虚拟地址的映射的物理地址
代码: 
PVOID pReadBuf = new BYTE[dwReadSize];

BOOL bRet = ReadPageMemoryPAE(pReadBuf, 
                    dwPageOffsetMB, 
                    dwReadSize, 
                    dwPageBaseAddr);
if (bRet == FALSE)
{
    return;
}

开启PAE情况
CR4中的物理地址扩展(PAE)标志可以开启PAE机制,将物理地址从32位扩展到36位.
当开始PAE机制后,处理器支持两种尺寸的页:4KB和2Mb的页.
增加了页目录指针表项.
表项的大小从32位增加到了64位
表项中的物理基地址扩展到了24位
寄存器CR3中的高位页目录基地址被换为27位的页目录指针表基地址

名称: 5.jpg 查看次数: 3668 文件大小: 9.4 KB

通过CR3寄存器定位到页目录指针表起始地址,取线性地址的高2位作为选取页目录指针表项的索引
代码: 
DWORD dwDirPointerTableIndex = (dwVirtualAddr & 0xc0000000) >> 30;
DWORD dwDirPointerTableBaseAddr = m_nDirBase & 0xffffffe0;
// 获得页目录指针表
__int64 nPageDirPointerTable = ReadPageDirPAE(dwDirPointerTableIndex, 
                    dwDirPointerTableBaseAddr);
if (nPageDir == 0)
{
       return;
}
取线性地址的第21位到29位作为页目录索引,页目录指针表项的第12位到第35位为页目录基地址
名称: 6.jpg 查看次数: 3666 文件大小: 10.7 KB

代码: 
// 页目录基地址
DWORD dwDirBaseAddr = (DWORD)(nPageDirPointerTable &0x0000000ffffff000);
// 页目录项索引
DWORD dwPageDirIndex = (dwVirtualAddr & 0x3fe00000) >> 21;

__int64 nPageDirEntry = ReadPageDirEntryPAE(dwPageDirIndex, dwDirBaseAddr);

if (nPageDirEntry == 0)
{
      return;
}
根据页目录项的第7位判断页大小,2MB,还是4KB
代码: 
// 获得页大小
DWORD CReadMemoryDlg::GetPageSizePAE(__int64 nAddr)
{
    if ((nAddr & 0x0000000000000080) == 0x0000000000000080)
    {
        return MBSIZE;
    }
    else
    {
        return KBSIZE;
    }
}
4KB时,页目录项的第12位到35位作为页表基地址的高24位.取线性地址第12位到20位作为在页表中的偏移

名称: 7.jpg 查看次数: 3679 文件大小: 29.5 KB

代码: 
// 获得页表
DWORD dwPageTableBaseAddr = (DWORD)(nPageDirEntry & 0x0000000ffffff000);
DWORD dwPageTableIndex = (dwVirtualAddr & 0x001ff000) >> 12;
__int64 nPageTable = ReadPageTablePAE(dwPageTableIndex, dwPageTableBaseAddr);

if (nPageTable == 0)
{
     return;
}
通过页表项的第12位到第35位作为页基地址的高24位,线性地址的低12为作为在页中的偏移
代码: 
// 读取页内容
DWORD dwPageBaseAddr = (DWORD)(nPageTable & 0x0000000ffffff000);
DWORD dwPageOffsetKb = dwVirtualAddr & 0x00000fff;
PVOID pReadBuf = new BYTE[dwReadSize];
BOOL bRet = ReadPageMemoryPAE(pReadBuf, 
                    dwPageOffsetKb, 
                    dwReadSize, 
                    dwPageBaseAddr);
if (bRet == FALSE)
{
     return;
}
所得到的内容就是目标进程虚拟地址内存的数据

2MB时, 页目录项的第21位到35位作为页的基地址的高位,取线性地址的第0位到第20位做为物理地址在页中的偏移
名称: 8.jpg 查看次数: 3668 文件大小: 25.4 KB

代码: 
DWORD dwPageOffsetMB = dwVirtualAddr & 0x000fffff;
// 高-35位
DWORD dwDirBaseAddr = (DWORD)(nPageDirEntry & 0x00000007fff00000);
PVOID pReadBuf = new BYTE[dwReadSize];
BOOL bRet = ReadPageMemoryPAE(pReadBuf, 
                    dwPageOffsetMB, 
                    dwReadSize, 
                    dwDirBaseAddr);
if (bRet == FALSE)
{
return;
}
所得到的内容就是目标进程虚拟地址内存的数据

     这里谢谢钱老师,这近一年的培养,祝钱老师的培训越办越好,!

kendyhj9999
关注
专栏目录
13.跨进程读写内存
My classmates
10-22 3946
跨进程的本质是"进程挂靠”正常情况下, A进程的线程只能访问A进程的地址空间,如果A进程的线程想访问B进程的地址空间,就要修改当前的Cr3的值为B进程的页目录表基值(KPROCESS.DirectoryTableBase)。 即: mov cr3,B.DirectoryTableBase 跨进程操作 A进制中的线程代码: mov cr3,B.DirectoryTableBase //切换Cr3...
第七课 C++教学：如何跨进程读取目标内存数据
xwx0316的博客
03-07 2080
是一种非常有用的技术，对于一些游戏辅助程序、调试程序等都有很大的帮助。在使用时需要注意安全性和准确性，同时不断学习和探索，才能更好地应用该技术。此外，对于不同的程序，其内存结构也可能不同，因此需要根据实际情况进行调试和修改代码。在一些特定场景下，我们需要读取其他进程的内存数据。在上面的代码中，我们使用了Windows API函数来实现。的技术，本文将介绍如何使用C++实现该技术。函数通过窗口标题或类名获取窗口句柄，通过窗口句柄获取进程ID和线程ID，用于打开目标进程，最后，
跨进程内存读取
weixin_30646315的博客
12-31 720
1. 切换目标进程的CR3通常,跨进程读写内存,用到ReadProcessMemory, WriteProcessMemory, 但需要进程句柄,如果目标进程受到保护,可能获得进程句柄会失败.ReadProcessMemory最后会调用到KeStackAttachProcess附加到目标进程上切换进程环境进行拷贝的, 所以想到拿到目标进程的虚拟内存内容,可以将目标进程的页目录基地址放入CR3中即可...
跨进程读写内存
qq_41490873的博客
06-07 1474
解决方法是把数据写到高2G内存，然后切换cr3.把高2G的数据写入到目标程序。
句柄与跨进程读写
qq_18811919的博客
05-19 586
跨进程读写内存#### 跨进程的本质 跨进程的本质是进程挂靠正常情况下，A的进程的线程只能访问A进程 的地址空间，如果A进程的线程想要访问B进程的地址空间，就要修改当前 Cr3的值为B进程页目录表基值(KPROCESS.DirectoryTableBase). 即:mov cr3,B.DirectoryTableBase NtReadVirtualMemory API 流程解析: 1.切换Cr3 2.将数据读复制到高2G 3.切换Cr3 4.从高2G复制到目标位置 该API功能是读取进程内存，原理是将目标
易语言跨进程内存读写例子源码
06-02
资源介绍：。易语言跨进程内存读写例子源码。资源作者：。这就是用户名。资源界面：。资源下载：。
跨进程内存读取,附源码定义.pdf
11-02
文档中提到的“附源码定义”可能是指提供了一段实现跨进程内存读取的源代码，这部分代码可能包含了上述操作的详细实现，如获取EPROCESS、切换CR3等步骤。 总结来说，跨进程内存读取涉及操作系统内核级别的编程，...
跨进程读取内存源码.rar
08-13
通过学习这个压缩包中的内容，你可以深入理解跨进程内存读取的概念，掌握实现这一功能的方法，并可能应用到自己的项目中，如开发调试工具、性能监视器等。在实践中，务必遵循相关的法律法规，尊重程序的知识产权，...
易语言-易语言跨进程内存读写例子
06-29
在这个“易语言-易语言跨进程内存读写例子”中，我们将探讨易语言如何实现跨进程的内存读写操作，这是一种高级的编程技巧，通常用于进程间通信（IPC）或对其他进程的数据进行直接操作。 跨进程内存读写的核心在于...
7.x86游戏实战-C++实现跨进程读写-跨进程写内存
最新发布
计算机王的博客
07-02 977
单机游戏逆向、单机游戏安全、c++、反游戏外挂
CMemPatch:一个简单的 C++ 类来加载和读写进程内存，它附带了一个例子，说明如何解密曾经流行的 demoscene e-zine HUGI 数据档案
06-26
CMemPatch 这是 C++ 中的一个简单类，用于加载和读取/写入进程内存。 它附带了一个示例，说明如何解密曾经流行的 demoscene 电子杂志 HUGI 的数据档案。 你可以在找到 HUGI E-zine 引擎基于 od Chris Dragan 的工作。 运行电子杂志可执行文件 读取数据包的解密密钥 数据包被解密并存储在磁盘上 Bartosz Wójcik
32位/64位WINDOWS驱动之-突破进程保护跨进程读写内存
a756598009的博客
07-01 898
类别：值 控件类型: EDIT 名称: m_targetPID 变量类型: UINT32。以上就是突破进程保护跨进程读写内存的全部内容了。加一个控制码和驱动层对应。
COM跨进程内存管理
daviemeng的博客
07-15 687
COM跨进程内存管理
多个进程共享内存
weixin_30478619的博客
09-28 706
HANDLE hmapfile = OpenFileMapppingA(FILE_MAP_READ, FALSE, "shijiaxing"); //打开共享内存，可以用于进程通信，也可以用于线程通行。第一个参数是首地址第二个参数表示是否将其锁定为当前的进程内，FALSE表示不锁定。第三个是命名。 在操作系统中，一个进程是不能读写另一个进程的内存的，他们的进程内存必须是互相独立的，C语...
枚举进程（2）——利用EPROCESS/PEB地址特征进行内存搜索
北极星2003的专栏
06-05 3576
 两个搜索特征:（1）观察所有进程的EProcess结构地址，可以发现都在0x80000000到"system"进程的EPROCESS之间。这就表明所有EPROCESS结构中的peb指针域也应该在这个区间。这就可以大致确定搜索范围。不过在实际测试(xp2)中发现winlogon的EPROCESS大于system的EPROCESS，因此还需要修正搜索范围的最大值。如果对效率要求比较高，还可以把搜索范
32位/64位WINDOWS驱动之-突破进程保护映射的方法进行跨进程读内存2
a756598009的博客
07-02 298
驱动层packpack8pack。
linux 跨进程读取内存,Android之Linux跨进程通信的方式
weixin_35794280的博客
05-07 909
As we all know，Android是基于Linux内核开发的，而市面上几乎所有的App都离开跨进程通信。可能你会说Android是通过Binder完成进程之间的通信的。但是Binder是怎么来的？为什么安卓的开发人员放着好好的Linux系统跨进程通讯方式不使用，反而创建一种新的跨进程通信方式呢？Linux系统一共提供了六种跨进程通讯方式，我们分别讲解。一、管道pipe管道又分为，匿名管道...
进程间通讯-WriteProcessMemory和ReadProcessMemory
书山有路勤为径，学海无涯苦作舟
04-20 2004
http://www.cppblog.com/windcsn/archive/2006/04/20/5981.html
跨进程通信--共享内存（ashmem）实例
Lud的博客
08-17 787
提到过，ashmem 通信原理是每个进程打开同一个文件，所以文件描述符需要通过其他方式传递给其他进程，所以这里采用了 Service + aidl 的方式把共享内存的文件描述符传递过去。然后客户端获取到的文件描述符读取该内存下的内容具体步骤如下：其中 MemoryFile 是通过 ashmem 实现的。ParcelFileDescriptor 实现了Parcelable 所以可以通过binder传输。...
易语言实现进程堆栈内存申请源码解析
- 进程内存是操作系统为每个运行的进程分配的虚拟内存空间，它包括代码段、数据段、堆和堆栈等多个部分。 - 堆栈内存用于存放临时变量和函数调用的相关信息，是自动管理的内存区域，遵循先进后出（FILO）的原则。 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值