지정된 프로세스 자체 내에서 환경 테이블을 겹쳐 써서이를 수행 할 수 있습니다.
개념 증명으로이 샘플 앱을 작성했는데 cmd.exe 프로세스에서 단일 (알려진) 환경 변수를 편집했습니다.
typedef DWORD (__stdcall *NtQueryInformationProcessPtr)(HANDLE, DWORD, PVOID, ULONG, PULONG);
int __cdecl main(int argc, char* argv[])
{
HMODULE hNtDll = GetModuleHandleA("ntdll.dll");
NtQueryInformationProcessPtr NtQueryInformationProcess = (NtQueryInformationProcessPtr)GetProcAddress(hNtDll, "NtQueryInformationProcess");
int processId = atoi(argv[1]);
printf("Target PID: %u\n", processId);
// open the process with read+write access
HANDLE hProcess = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION | PROCESS_VM_READ | PROCESS_VM_WRITE | PROCESS_VM_OPERATION, 0, processId);
if(hProcess == NULL)
{
printf("Error opening process (%u)\n", GetLastError());
return 0;
}
// find the location of the PEB
PROCESS_BASIC_INFORMATION pbi = {0};
NTSTATUS status = NtQueryInformationProcess(hProcess, ProcessBasicInformation, &pbi, sizeof(pbi), NULL);
if(status != 0)
{
printf("Error ProcessBasicInformation (0x%8X)\n", status);
}
printf("PEB: %p\n", pbi.PebBaseAddress);
// find the process parameters
char *processParamsOffset = (char*)pbi.PebBaseAddress + 0x20; // hard coded offset for x64 apps
char *processParameters = NULL;
if(ReadProcessMemory(hProcess, processParamsOffset, &processParameters, sizeof(processParameters), NULL))
{
printf("UserProcessParameters: %p\n", processParameters);
}
else
{
printf("Error ReadProcessMemory (%u)\n", GetLastError());
}
// find the address to the environment table
char *environmentOffset = processParameters + 0x80; // hard coded offset for x64 apps
char *environment = NULL;
ReadProcessMemory(hProcess, environmentOffset, &environment, sizeof(environment), NULL);
printf("environment: %p\n", environment);
// copy the environment table into our own memory for scanning
wchar_t *localEnvBlock = new wchar_t[64*1024];
ReadProcessMemory(hProcess, environment, localEnvBlock, sizeof(wchar_t)*64*1024, NULL);
// find the variable to edit
wchar_t *found = NULL;
wchar_t *varOffset = localEnvBlock;
while(varOffset < localEnvBlock + 64*1024)
{
if(varOffset[0] == '\0')
{
// we reached the end
break;
}
if(wcsncmp(varOffset, L"ENVTEST=", 8) == 0)
{
found = varOffset;
break;
}
varOffset += wcslen(varOffset)+1;
}
// check to see if we found one
if(found)
{
size_t offset = (found - localEnvBlock) * sizeof(wchar_t);
printf("Offset: %Iu\n", offset);
// write a new version (if the size of the value changes then we have to rewrite the entire block)
if(!WriteProcessMemory(hProcess, environment + offset, L"ENVTEST=def", 12*sizeof(wchar_t), NULL))
{
printf("Error WriteProcessMemory (%u)\n", GetLastError());
}
}
// cleanup
delete[] localEnvBlock;
CloseHandle(hProcess);
return 0;
}
샘플 출력 :
>set ENVTEST=abc
>cppTest.exe 13796
Target PID: 13796
PEB: 000007FFFFFD3000
UserProcessParameters: 00000000004B2F30
environment: 000000000052E700
Offset: 1528
>set ENVTEST
ENVTEST=def
노트
이 접근 방식은 보안 제한으로 제한됩니다. 대상이 높은 고도 또는 높은 계정 (예 : SYSTEM)에서 실행되면 메모리를 편집 할 수있는 권한이 없습니다.
이 작업을 32 비트 앱으로 수행하려면 위의 하드 코딩 된 오프셋이 각각 0x10 및 0x48로 변경됩니다. 이 오프셋은 디버거에서 _PEB 및 _RTL_USER_PROCESS_PARAMETERS 구조체를 덤프하여 찾을 수 있습니다 (예 : WinDbg dt _PEB및dt _RTL_USER_PROCESS_PARAMETERS )
개념 증명을 OP에 필요한 것으로 변경하기 위해 현재 시스템 및 사용자 환경 변수 (@tsadok의 답변으로 문서화 됨)를 열거하고 전체 환경 테이블을 대상 프로세스의 메모리에 씁니다.
편집 : 환경 블록의 크기도 _RTL_USER_PROCESS_PARAMETERS 구조체에 저장되지만 메모리는 프로세스의 힙에 할당됩니다. 따라서 외부 프로세스에서는 크기를 조정하고 더 크게 만들 수 없습니다. 환경 저장소의 대상 프로세스에서 추가 메모리를 할당하기 위해 VirtualAllocEx를 사용하여 놀았으며 완전히 새로운 테이블을 설정하고 읽을 수있었습니다. 불행히도 정상적인 방법으로 환경을 수정하려는 시도는 주소가 더 이상 힙을 가리 키지 않기 때문에 충돌하고 타 버립니다 (RtlSizeHeap에서 충돌 함).