通过修改物理内存实现跨进程内存读写

习一下利用修改物理内存来跨进程内存读写

系统：win10 21h1 x64

编译环境: vs2022 详情见附录

基础

虚拟地址转物理地址

虚拟地址也称线性地址，一个线性地址+进程的DirBase地址可以转换成物理地址。先来看线性地址的含义

在x64体系中只实现了48位的virtual address，高16位被用作符号扩展，这高16位要么全是0，要么全是1。
不同于x86体系结构，每级页表寻址长度变成9位，由于在x64体系结构中，普通页大小仍为4KB,然而数据却表示64位长，因此一个4KB页在x64体系结构下只能包含512项内容，所以为了保证页对齐和以页为单位的页表内容换入换出，在x64下每级页表寻址部分长度定位9位。

 

从Page Map Level 4(PML4)开始到最后的物理地址，每一个都可以理解成一层页表的索引，索引值就是线性地址上不同的部分，分别缩写是PML4, PDPE, PDE,PTE。 

 

使用windbg可以先查看进程对应的DirBase地址，然后再使用!vtop Dirbase地址 虚拟地址查看虚拟地址对应的物理地址，如下。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

3: kd> !process 258c 0

Searching for Process with Cid == 258c

PROCESS ffffc40d2ab48340

    SessionId: 1  Cid: 258c    Peb: a6e35cd000  ParentCid: 1250

    DirBase: 235ae6000  ObjectTable: ffff998138d4ee00  HandleCount:  38.

    Image: test.exe

3: kd> !vtop 235ae6000 0000A6E334FB00

Amd64VtoP: Virt 000000a6e334fb00, pagedir 0000000235ae6000

Amd64VtoP: PML4E 0000000235ae6008

Amd64VtoP: PDPE 00000001087fb4d8

Amd64VtoP: PDE 000000010f7fc8c8

Amd64VtoP: PTE 00000000ad207a78

Amd64VtoP: Mapped phys 000000011b10cb00

Virtual address a6e334fb00 translates to physical address 11b10cb00.

上面得到DirBase的值是235ae6000，然后需要查看物理地址的虚拟地址是0x0000A6E334FB00，就使用命令

1

!vtop 235ae6000 0000A6E334FB00

得到最后对应的物理地址是0x11b10cb00。

简单例子代码如下：

1

2

3

4

5

6

7

8

9

10

11

#include <stdio.h>

#include <stdlib.h>

int main() {

    char flag[] = {"flag{b7285d748dd042a4929d3dbec778e637}"};

    printf("value addr: %p", flag);

    getchar();

    return 0;

}

运行后可以打印出来字符串的虚拟地址0000A6E334FB00，然后通过上述步骤得到物理地址。

我们尝试看看物理内存中的字符串，现在已经确定物理内存的地址是0xD0000147，使用!db 0xD0000147来查看物理内存，记住要!,没有感叹号的是查看虚拟内存的

1

2

3

4

5

6

7

8

9

3: kd> !db 0x11b10cb00

#11b10cb00 66 6c 61 67 7b 62 37 32-38 35 64 37 34 38 64 64 flag{b7285d748dd

#11b10cb10 30 34 32 61 34 39 32 39-64 33 64 62 65 63 37 37 042a4929d3dbec77

#11b10cb20 38 65 36 33 37 7d 00 00-f8 82 20 82 f7 7f 00 00 8e637}.... .....

#11b10cb30 00 00 00 00 00 00 00 00-20 13 1f 82 f7 7f 00 00 ........ .......

#11b10cb40 00 00 00 00 00 00 00 00-99 13 1f 82 f7 7f 00 00 ................

#11b10cb50 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................

#11b10cb60 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................

#11b10cb70 00 00 00 00 00 00 00 00-44 73 d3 08 fe 7f 00 00 ........Ds......

可以看到物理内存上的字符串内容。

DirBase地址获取

DirBase地址除了通过上述windbg直接得到这个值以外，还可以通过EPROCESS来得到，这个是代码比较需要的

1

2

3

4

5

6

7

8

9

10

11

12

13

3: kd> dt _eprocess ffffc40d2ab48340

nt!_EPROCESS

   +0x000 Pcb              : _KPROCESS

   +0x438 ProcessLock      : _EX_PUSH_LOCK

   +0x440 UniqueProcessId  : 0x00000000`0000258c Void

   +0x448 ActiveProcessLinks : _LIST_ENTRY [ 0xffffc40d`2cb43788 - 0xffffc40d`2cd444c8 ]

   +0x458 RundownProtect   : _EX_RUNDOWN_REF

   .....

3: kd> dx -id 0,0,ffffc40d23c95040 -r1 (*((ntkrnlmp!_KPROCESS *)0xffffc40d2ab48340))

(*((ntkrnlmp!_KPROCESS *)0xffffc40d2ab48340))                 [Type: _KPROCESS]

    [+0x000] Header           [Type: _DISPATCHER_HEADER]

    [+0x018] ProfileListHead  [Type: _LIST_ENTRY]

    [+0x028] DirectoryTableBase : 0x235ae6000 [Type: unsigned __int64]

DirectoryTableBase的值就是DirBase地址了，实际上就是EPROCESS + 0x28的偏移

还可以通过获取CR3寄存器的值，CR3寄存器中的值就是页目录表的物理地址，也就是DirBase

思路

目的：进程B可以通过修改物理内存的内容来修改进程A内存中的数据

实验设置：进程A泄露一个变量地址，然后等待进程B修改，修改后再回复执行，打印变量值看是否修改成功

内核部分思路：

  • 将R3的虚拟地址转换为物理地址
  • 使用MmCopyMemory复制物理地址内容
  • 修改内容
  • 使用mmMapIoSpaceEx将修改后的内容映射回物理地址

代码实现

被修改进程代码

这里写一个例子来充当被攻击（修改内存）的进程。主要就是打印变量内容和地址，然后暂停程序等待一段时间（等待被驱动修改），然后再打印变量内容，看看是否被驱动修改内存成功。

1

2

3

4

5

6

7

8

9

10

11

12

13

#include <stdio.h>

#include <stdlib.h>

int main() {

    char flag[] = {"flag{b7285d748dd042a4929d3dbec778e637}"};

    printf("value addr: %p\r\n", flag);

    printf("flag data: %s\r\n", flag);

    getchar();

    printf("flag data Now: %s\r\n", flag);

    return 0;

}

驱动代码

这里就是主要逻辑，通过驱动代码取修改目标进程的内存内容，做到跨进程内存读取，修改。

定义一个读取物理内存函数

1

2

3

4

5

6

7

8

9

10

11

12

13

14

/// @brief 读取物理地址的内存内容

/// @param address 物理地址

/// @param buffer 复制内存地址到buffer

/// @param size 复制大小

/// @param BytesTransferred 读取的字节数

/// @return

NTSTATUS ReadPhysicalAddress(IN PVOID64 address, OUT PVOID64 buffer,

                             IN SIZE_T size, OUT SIZE_T* BytesTransferred)

{

    MM_COPY_ADDRESS Read          = {0};

    Read.PhysicalAddress.QuadPart = (LONG64)address;

    return MmCopyMemory(

        buffer, Read, size, MM_COPY_MEMORY_PHYSICAL, BytesTransferred);

}

再定义一个写入物理内存的函数

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

/// @brief 写入指定内容到物理内存中

/// @param address 被写入的物理地址

/// @param buffer 需要写入的缓冲区指针

/// @param size 需要写入的大小

/// @param BytesTransferred 写入成功后的大小

/// @return

NTSTATUS WritePhysicalAddress(IN PVOID64 address, IN PVOID64 buffer,

                              IN SIZE_T size, OUT SIZE_T* BytesTransferred)

{

    PVOID            map;

    PHYSICAL_ADDRESS Write = {0};

    if (!address) {

        kprintf("Address value error. \r\n");

        return STATUS_UNSUCCESSFUL;

    }

    Write.QuadPart = (LONG64)address;

    map            = MmMapIoSpaceEx(Write, size, PAGE_READWRITE);

    if (!map) {

        kprintf("Write Memory faild.\r\n");

        return STATUS_UNSUCCESSFUL;

    }

    RtlCopyMemory(map, buffer, size);

    *BytesTransferred = size;

    MmUnmapIoSpace(map, size);

    return STATUS_SUCCESS;

}

我们需要将虚拟地址转换成物理地址，那么首先需要线性地址+DirBase地址，DirBase地址获取是通过PEPROCESS+0x28偏移读取的

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

/// @brief 通过EPROCESS获取DirBase值

/// @param pid 进程PID

/// @param pDirbase 一个UINT64指针，获取成功后返回值

/// @return

NTSTATUS GetDirBaseByEprocess(IN UINT64 pid, OUT PUINT64 pDirbase)

{

    PEPROCESS pEprocess;

    NTSTATUS  status;

    status = PsLookupProcessByProcessId((HANDLE)pid, &pEprocess);

    if (!NT_SUCCESS(status)) {

        kprintf("[!] Get Pid=%d _EPROCESS failed!", pid);

        return STATUS_UNSUCCESSFUL;

    }

    *pDirbase =

        *(PUINT64)((PUCHAR)pEprocess + WIN10_21H1_EPROCESS2DIRBASE_OFFSET);

    kprintf("[+] uDirBase ==> %llx\r\n", *pDirbase);

    return STATUS_SUCCESS;

}

得到DirBase后，就可以虚拟地址转换物理地址。

传入虚拟地址后，取后48bit，然后将这48bit分成4个9bit和最后12bit，分别是PML4，PDPE，PDE，PTE和页内偏移offset。需要注意的是DirBase就已经是物理内存了，所以读取DirBase内容并且一层一层读取都要用自定义函数ReadPhysicalAddress。

每一层都是基地址+8*偏移，读取的内容，取12-35bit就是下一层的基地址

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

/// @brief 传入DirBase值和虚拟地址后，回转化成一个物理地址返回

/// @param DirBase DirBase地址，传入一个UINT64值

/// @param addr 传入一个指向虚拟地址的指针，转化成物理地址后会修改这个指针的值

/// @return

NTSTATUS TranslateAddress(IN UINT64 DirBase, _Inout_ PUINT64 addr)

{

    UINT16   PML4, PDPE, PDE, PTE, offset;

    UINT64   mask = 0x7fffff000;

    UINT64   uTmp;

    SIZE_T   BytesTransferred;

    NTSTATUS status;

    offset = *addr & 0xfff;

    PTE    = (*addr >> 12) & 0x1ff;

    PDE    = (*addr >> (12 + 9)) & 0x1ff;

    PDPE   = (*addr >> (9 * 2 + 12)) & 0x1ff;

    PML4   = (*addr >> (9 * 3 + 12)) & 0x1ff;

    status = ReadPhysicalAddress(

        (PVOID64)(DirBase + PML4 * 8), &uTmp, sizeof(uTmp), &BytesTransferred);

    uTmp &= mask;

    kprintf("[+] PML4(%x) ==> %llx\r\n", PML4, uTmp);

    status = ReadPhysicalAddress(

        (PVOID64)(uTmp + PDPE * 8), &uTmp, sizeof(uTmp), &BytesTransferred);

    uTmp &= mask;

    kprintf("[+] PDPE(%x) ==> %llx\r\n", PDPE, uTmp);

    status = ReadPhysicalAddress(

        (PVOID64)(uTmp + PDE * 8), &uTmp, sizeof(uTmp), &BytesTransferred);

    uTmp &= mask;

    kprintf("[+] PDE(%x) ==> %llx\r\n", PDE, uTmp);

    status = ReadPhysicalAddress(

        (PVOID64)(uTmp + PTE * 8), &uTmp, sizeof(uTmp), &BytesTransferred);

    uTmp &= mask;

    kprintf("[+] PTE(%x) ==> %llx\r\n", PTE, uTmp);

    *addr = uTmp + offset;

    kprintf("[+] physical address: %llx\r\n", *addr);

    return STATUS_SUCCESS;

}

最后再主函数中定义一下逻辑。这里直接手动指定进程号和目标进程打印出来的变量地址，然后将虚拟地址转化成物理地址，读取物理地址上的内容并打印出来看看是否正确。再修改物理地址上的内容。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING path)

{

    NTSTATUS status;

    UINT64   pid, uAddr, uDirBase;

    SIZE_T   BytesTransferred;

    UCHAR    charArry[40] = {0};

    UCHAR    example[40] = {"Yes I change memory by physical"};

    pid   = 10276;

    uAddr = 0x3629FAFB80;

    pDriver->DriverUnload = DriverUnload;

    // 手动指定进程号

    status = GetDirBaseByEprocess(pid, &uDirBase);

    if (!NT_SUCCESS(status)) {

        kprintf("[!] Get DirBase address failed!\r\n");

        return STATUS_UNSUCCESSFUL;

    }

    // 将虚拟地址转化成物理地址

    status = TranslateAddress(uDirBase, &uAddr);

    if (!NT_SUCCESS(status)) {

        kprintf("[!] Translate address failed!\r\n");

        return STATUS_UNSUCCESSFUL;

    }

    // 读取物理地址内容, 然后修改内容

    ReadPhysicalAddress((PVOID64)uAddr, charArry, 40, &BytesTransferred);

    kprintf("[+] data is %s\r\n", charArry);

    // 将example字符串写入物理内存

    WritePhysicalAddress((PVOID64)uAddr, example, 40, &BytesTransferred);

    kprintf("[+] Write end\r\n");

    return STATUS_SUCCESS;

}

结果

目标进程

 

可以看到目标进程的指定内存被修改，同时驱动也跨进程读取，修改内存成功 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/bicheng/14385.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

刀片式服务器的主要组件有哪些？

刀片式服务器的主要组件有哪些？

刀片式服务器是专门为特殊应用行业跟高密度计算环境设计的&#xff0c;是高可用高密度低成本的服务器平台&#xff0c;刀片服务器这个名称主要是根据产品的形状&#xff0c;刀片式服务器的组成单元外形扁平&#xff0c;就像刀片一样&#xff0c;整体设计的比较紧凑&#xff0c;…
阅读更多...
C#和C++有什么区别？

C#和C++有什么区别？

C#和C都是广泛使用的编程语言&#xff0c;但它们在设计理念、应用场景和语法上有许多显著的区别。以下是一些关键区别的详细介绍&#xff1a; 1. 设计理念和目的 C&#xff1a; 设计目的&#xff1a;C是一种面向系统编程和应用程序开发的语言&#xff0c;具有高效性和灵活性…
阅读更多...
电工杯b题

电工杯b题

虽然这次休息不打&#xff0c;但是看了一下&#xff0c;我比较倾向于机器学习灌水&#xff08;doge
阅读更多...
刷题之从前序遍历与中序遍历序列构造二叉树（leetcode)

刷题之从前序遍历与中序遍历序列构造二叉树（leetcode)

从前序遍历与中序遍历序列构造二叉树 前序遍历&#xff1a;中左右 中序遍历&#xff1a;左中右 前序遍历的第一个数必定为根节点&#xff0c;再到中序遍历中找到该数&#xff0c;数的左边是左子树&#xff0c;右边是右子树&#xff0c;进行递归即可。 #include<vector>…
阅读更多...
Juniper查看并调整策略顺序

Juniper查看并调整策略顺序

1.查看安全策略 >show security policies 顺序就是按照显示出来的顺序&#xff0c;与Index无关&#xff0c;从上到下匹配 2. 调整防火墙策略 #insert security policies from-zone CAMERAS to-zone INTERNET policy CAMERAS-to-NTP before policy CAMERAS-to-INTERNET …
阅读更多...
操作系统3_作业与处理机调度

操作系统3_作业与处理机调度

操作系统3_作业与处理机调度 文章目录 操作系统3_作业与处理机调度1. 作业的概念与组成2. 作业的建立及状态3. 处理机调度相关概念3.1 调度级别3.2 调度队列模型3.3 选择准则4. 作业调度与进程调度5. 典型处理机调度算法5.1 先来先服务算法FCFS5.2 短作业优先算法SJF5.3 优先级…
阅读更多...
【力扣一轮】字符串异位 数组并集

【力扣一轮】字符串异位 数组并集

先验知识记录&#xff1a; 遇到哈希问题&#xff0c;想到三种数据结构&#xff1a; ①数组&#xff1a;适用于哈希值比较小&#xff0c;范围较小&#xff0c; ②set&#xff1a;适用于哈希值较大。 ③map&#xff1a;如果需要用到键值对&#xff0c;则用之。 242.有效的字母…
阅读更多...
拨云见日，ATFX七场研讨会揭秘投资先机

拨云见日，ATFX七场研讨会揭秘投资先机

财经先机&#xff0c;一手掌握。近期&#xff0c;随着国际金价持续走高&#xff0c;避险情绪高涨&#xff0c;由此激发新一轮投资热潮。作为业界领先的金融创新品牌&#xff0c;ATFX深受投资者认可和信赖&#xff0c;为助力广大投资者了解市场运行规律&#xff0c;捕捉财经脉络…
阅读更多...
C++通过读取二进制流的方式来解析PE（静态文件读取法）

C++通过读取二进制流的方式来解析PE（静态文件读取法）

步骤解读 先选择文件读取文件二进制流从二进制流读取DOS头&#xff08;DOS_HEADER&#xff09;&#xff0c;长度64字节读取DOS壳&#xff08;DOS_STUB&#xff09;&#xff0c;DOS头开始&#xff0c;长度至到dosHeader->e_lfanew偏移量读取PE标识&#xff08;Signature&…
阅读更多...
520节日特别篇：构建浪漫互动网站实战技巧

520节日特别篇：构建浪漫互动网站实战技巧

520节日特别篇&#xff1a;构建浪漫互动网站实战技巧 一、非零分积分资源概览二、基础概念与作用说明HTML5 Canvas & SVGCSS3 动画与过渡JavaScript 动态交互 三、实战代码示例&#xff1a;打造浪漫爱心雨HTML 结构CSS 样式JavaScript 逻辑 四、实际开发应用思路1. 个性化祝…
阅读更多...
怎么画思维导图？方法介绍

怎么画思维导图？方法介绍

怎么画思维导图&#xff1f;在数字化时代&#xff0c;思维导图已成为我们工作、学习和生活中的得力助手。它不仅能帮助我们更好地组织和表达思想&#xff0c;还能提升我们的思维能力和创造力。那么&#xff0c;哪些软件可以画思维导图呢&#xff1f;本文将为你揭秘几款功能强大…
阅读更多...
Linux 应用入门（一）

Linux 应用入门（一）

1. 交叉编译 概念&#xff1a;在当前编译平台下&#xff0c;编译出来的程序能运行在体系结构不同的另一种目标平台上&#xff0c;但是编译平台本身却不能运行该程序。 为什么需要交叉编译&#xff1f; 速度&#xff1a;目标平台得运行速度比主机往往慢得多&#xff0c;因为许多…
阅读更多...
Docker+nginx部署SpringBoot+vue前后端分离项目（保姆及入门指南）

Docker+nginx部署SpringBoot+vue前后端分离项目（保姆及入门指南）

前后分离项目部署 项目回顾工具上线准备1、win1.1、前端1.2、后端 2、linux环境2.1、安装docker2.2、安装docker compose2.3、编写Dockerfile文件2.4、编写docker-compose.yml文件2.5、修改application-pro.yml2.6、准备好nginx的挂载目录和配置2.7、部署后端服务 项目回顾 书…
阅读更多...
数据挖掘实战-基于内容协同过滤算法的电影推荐系统

数据挖掘实战-基于内容协同过滤算法的电影推荐系统

&#x1f935;‍♂️ 个人主页&#xff1a;艾派森的个人主页 ✍&#x1f3fb;作者简介&#xff1a;Python学习者 &#x1f40b; 希望大家多多支持&#xff0c;我们一起进步&#xff01;&#x1f604; 如果文章对你有帮助的话&#xff0c; 欢迎评论 &#x1f4ac;点赞&#x1f4…
阅读更多...
【从C++到Java一周速成】章节9：构造器

【从C++到Java一周速成】章节9：构造器

章节9&#xff1a;构造器 对于一个类来说&#xff0c;一般有三种常见的成员&#xff1a;属性、方法、构造器。 这三种成员都可以定义零个或多个。 构造方法也叫构造器&#xff0c;是一个创建对象时被自动调用的特殊方法&#xff0c;用于对象的初始化。 Java通过new关键字来调用…
阅读更多...
OpenHarmony集成OCR三方库实现文字提取

OpenHarmony集成OCR三方库实现文字提取

1. 简介 Tesseract(Apache 2.0 License)是一个可以进行图像OCR识别的C库&#xff0c;可以跨平台运行 。本样例基于Tesseract库进行适配&#xff0c;使其可以运行在OpenAtom OpenHarmony&#xff08;以下简称“OpenHarmony”&#xff09;上&#xff0c;并新增N-API接口供上层应…
阅读更多...
.Net Core学习笔记 框架特性（注入、配置）

.Net Core学习笔记 框架特性（注入、配置）

注&#xff1a;直接学习的.Net Core 6&#xff0c;此版本有没有startup.cs相关的内容 项目Program.cs文件中 是定义项目加载 启动的地方 //通过builder对项目进行配置、服务的加载 var builder WebApplication.CreateBuilder(args); builder.Services.AddControllers();//将…
阅读更多...
Ubuntu服务器运行Subspace节点和Farm

Ubuntu服务器运行Subspace节点和Farm

提供Subspace 节点部署&性能优化&机房托管&运维监控等服务。myto88 磁盘格式化 将插入的磁盘格式化。 sudo mkfs.ext4 -m 0 -T largefile4 /dev/sd*磁盘挂载 此处为语雀内容卡片&#xff0c;点击链接查看&#xff1a;https://www.yuque.com/u25096009/lvoxa…
阅读更多...
企商在线荣登甲子光年“2024中国AI算力层创新企业”榜单

企商在线荣登甲子光年“2024中国AI算力层创新企业”榜单

5月15日&#xff0c;「AI创生时代——2024甲子引力X科技产业新风向」大会在北京顺利举办&#xff0c;大会发布2024【星辰100】创新企业榜。企商在线凭借全栈式一体化AI算力能力&#xff0c;与超聚变、寒武纪等企业共同入选“2024中国AI算力层创新企业”榜单。 本次大会由中国科…
阅读更多...
AJAX(JQuery版本)

AJAX(JQuery版本)

目录 前言 一.load方法 1.1load()简介 1.2load()方法示例 1.3load()方法回调函数的参数 二.$.get()方法 2.1$.get()方法介绍 2.2详细说明 2.3一些例子 2.3.1请求test.php网页并传送两个参数 2.3.2显示test返回值 三.$.post()方法 3.1$.post()方法介绍 3.2详细说明 …
阅读更多...
最新文章

Copyright @ 2022~2023