Có thể thực hiện việc này bằng cách ghi đè Bảng Môi trường trong một quy trình được chỉ định.
Để chứng minh khái niệm, tôi đã viết ứng dụng mẫu này, nó chỉ chỉnh sửa một biến môi trường (đã biết) trong quy trình cmd.exe:
typedef DWORD (__stdcall *NtQueryInformationProcessPtr)(HANDLE, DWORD, PVOID, ULONG, PULONG);
int __cdecl main(int argc, char* argv[])
{
HMODULE hNtDll = GetModuleHandleA("ntdll.dll");
NtQueryInformationProcessPtr NtQueryInformationProcess = (NtQueryInformationProcessPtr)GetProcAddress(hNtDll, "NtQueryInformationProcess");
int processId = atoi(argv[1]);
printf("Target PID: %u\n", processId);
// open the process with read+write access
HANDLE hProcess = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION | PROCESS_VM_READ | PROCESS_VM_WRITE | PROCESS_VM_OPERATION, 0, processId);
if(hProcess == NULL)
{
printf("Error opening process (%u)\n", GetLastError());
return 0;
}
// find the location of the PEB
PROCESS_BASIC_INFORMATION pbi = {0};
NTSTATUS status = NtQueryInformationProcess(hProcess, ProcessBasicInformation, &pbi, sizeof(pbi), NULL);
if(status != 0)
{
printf("Error ProcessBasicInformation (0x%8X)\n", status);
}
printf("PEB: %p\n", pbi.PebBaseAddress);
// find the process parameters
char *processParamsOffset = (char*)pbi.PebBaseAddress + 0x20; // hard coded offset for x64 apps
char *processParameters = NULL;
if(ReadProcessMemory(hProcess, processParamsOffset, &processParameters, sizeof(processParameters), NULL))
{
printf("UserProcessParameters: %p\n", processParameters);
}
else
{
printf("Error ReadProcessMemory (%u)\n", GetLastError());
}
// find the address to the environment table
char *environmentOffset = processParameters + 0x80; // hard coded offset for x64 apps
char *environment = NULL;
ReadProcessMemory(hProcess, environmentOffset, &environment, sizeof(environment), NULL);
printf("environment: %p\n", environment);
// copy the environment table into our own memory for scanning
wchar_t *localEnvBlock = new wchar_t[64*1024];
ReadProcessMemory(hProcess, environment, localEnvBlock, sizeof(wchar_t)*64*1024, NULL);
// find the variable to edit
wchar_t *found = NULL;
wchar_t *varOffset = localEnvBlock;
while(varOffset < localEnvBlock + 64*1024)
{
if(varOffset[0] == '\0')
{
// we reached the end
break;
}
if(wcsncmp(varOffset, L"ENVTEST=", 8) == 0)
{
found = varOffset;
break;
}
varOffset += wcslen(varOffset)+1;
}
// check to see if we found one
if(found)
{
size_t offset = (found - localEnvBlock) * sizeof(wchar_t);
printf("Offset: %Iu\n", offset);
// write a new version (if the size of the value changes then we have to rewrite the entire block)
if(!WriteProcessMemory(hProcess, environment + offset, L"ENVTEST=def", 12*sizeof(wchar_t), NULL))
{
printf("Error WriteProcessMemory (%u)\n", GetLastError());
}
}
// cleanup
delete[] localEnvBlock;
CloseHandle(hProcess);
return 0;
}
Đầu ra mẫu:
>set ENVTEST=abc
>cppTest.exe 13796
Target PID: 13796
PEB: 000007FFFFFD3000
UserProcessParameters: 00000000004B2F30
environment: 000000000052E700
Offset: 1528
>set ENVTEST
ENVTEST=def
Ghi chú
Cách tiếp cận này cũng sẽ được giới hạn trong các hạn chế bảo mật. Nếu mục tiêu được chạy ở độ cao cao hơn hoặc tài khoản cao hơn (chẳng hạn như HỆ THỐNG) thì chúng tôi sẽ không được phép chỉnh sửa bộ nhớ của nó.
Nếu bạn muốn thực hiện điều này với ứng dụng 32 bit, phần bù được mã hóa cứng ở trên sẽ thay đổi thành 0x10 và 0x48 tương ứng. Có thể tìm thấy các độ lệch này bằng cách loại bỏ _PEB và _RTL_USER_PROCESS_PARAMETERS trong trình gỡ lỗi (ví dụ: trong WinDbg dt _PEBvà dt _RTL_USER_PROCESS_PARAMETERS)
Để thay đổi khái niệm bằng chứng thành những gì OP cần, nó sẽ chỉ liệt kê các biến môi trường người dùng và hệ thống hiện tại (như tài liệu của câu trả lời của @ tsadok) và ghi toàn bộ bảng môi trường vào bộ nhớ của quá trình đích.
Chỉnh sửa: Kích thước của khối môi trường cũng được lưu trữ trong cấu trúc _RTL_USER_PROCESS_PARAMETERS, nhưng bộ nhớ được phân bổ trên heap của tiến trình. Vì vậy, từ quy trình bên ngoài, chúng tôi sẽ không có khả năng thay đổi kích thước và làm cho nó lớn hơn. Tôi đã chơi xung quanh với việc sử dụng VirtualAllocEx để phân bổ bộ nhớ bổ sung trong quy trình đích cho bộ lưu trữ môi trường và có thể đặt và đọc một bảng hoàn toàn mới. Thật không may, bất kỳ nỗ lực nào để sửa đổi môi trường từ các phương tiện thông thường sẽ bị sập và cháy do địa chỉ không còn trỏ đến heap (nó sẽ bị sập trong RtlSizeHeap).