6）运行期修改可执行文件的路径和Command Line.docxVIP

工程项目类土木工程经典参考文献

工程项目类土木工程经典参考文献

标题:【原创】运行期修改可执行文件的路径和CommandLine

作者:NetRoc

时间:2008-01-04,17:56

链接:bbs.pediyshowthread.php?t=57682

cc682NetRoc

??????目前的很多主动防御工具和反XX系统，在对特定进程进行保护的时候，出于兼容性的考虑，都会保留一些白名单。特别是一些系统进程，例如csrss.exe、svchost.exe等等。而针对这些系统进程，判断是否在白名单中的方式，为了简便起见经常采用取系统路径、可执行文件名的方式。

????内核中比较明显的能够取到可执行文件路径的方法有下面几个：

1、??通过PEB.?ProcessParameters?-?ImagePathName取得可执行文件路径，通过PEB.?ProcessParameters?-?CommandLine取得执行的命令行，以及PEB.?ProcessParameters里面其他几个成员取得其他一些相关的路径信息。

2、??通过nt!_EPROCESS的ImageFileName取得。

3、??通过nt!_EPROCESS::?SeAuditProcessCreationInfo::?ImageFileName取得。

4、??通过和_EPROCESS相关的文件对象信息取得。

????常见的方式一般只有1、2两种。而上述的前三种方式都可以在运行时被修改掉，用来进行欺骗。特别是PEB里面的信息由于在ring3直接就可以访问，实现上来说非常简单。

????下面这段代码通过NtQueryInformationProcess拿到PEB，然后修改路径信息：

HMODULE?hMod?=?GetModuleHandle(?_T(?ntdll.dll));

??pfnNtQueryInformationProcess?p?=?(pfnNtQueryInformationProcess)::GetProcAddress(?hMod,?NtQueryInformationProcess);

??

??PROCESS_BASIC_INFORMATION?stInfo?=?{0};

??DWORD?dwRetnLen?=?0;

??DWORD?dw?=?p(?GetCurrentProcess(),?ProcessBasicInformation,?stInfo,?sizeof(stInfo),?dwRetnLen);

??

??PPEB?pPeb?=?stInfo.PebBaseAddress;

??WCHAR?wszFullPath[MAX_PATH]?=?{0};

??WCHAR?wszTmp2[MAX_PATH]?=?{0};

??wcscpy(?wszFullPath,?wszPath);

??MultiByteToWideChar(?CP_THREAD_ACP,?0,?szName,?-1,?wszTmp2,?MAX_PATH);

??wcscat(?wszFullPath,?wszTmp2);

??

??wcscpy(?pPeb-ProcessParameters-ImagePathName.Buffer,?wszFullPath);

??pPeb-ProcessParameters-ImagePathName.Length?=?wcslen(?wszFullPath)?*?sizeof(WCHAR);

??

??int?nParamStart?=?0;

??WCHAR?*wszTmp?=?new?WCHAR[pPeb-ProcessParameters-CommandLine.MaximumLength];

??ZeroMemory(?wszTmp,?sizeof(WCHAR)?*?pPeb-ProcessParameters-CommandLine.MaximumLength);

??

??wcscpy(?wszTmp,?pPeb-ProcessParameters-CommandLine.Buffer);

??

??if?(?pPeb-ProcessParameters-CommandLine.Buffer[0]?==?)

??{

????for?(?int?i?=?1;?i??pPeb-ProcessParameters-CommandLine.Length??2;?i++)

????{

??????if?(?pPeb-ProcessParameters-CommandLine.Buffer[i]?==?)

??????{

????????nParamStart?=?i;

??????}

???