通过修改物理内存实现跨进程内存读写

习一下利用修改物理内存来跨进程内存读写

系统：win10 21h1 x64

编译环境: vs2022 详情见附录

基础

虚拟地址转物理地址

虚拟地址也称线性地址，一个线性地址+进程的DirBase地址可以转换成物理地址。先来看线性地址的含义

在x64体系中只实现了48位的virtual address，高16位被用作符号扩展，这高16位要么全是0，要么全是1。
不同于x86体系结构，每级页表寻址长度变成9位，由于在x64体系结构中，普通页大小仍为4KB,然而数据却表示64位长，因此一个4KB页在x64体系结构下只能包含512项内容，所以为了保证页对齐和以页为单位的页表内容换入换出，在x64下每级页表寻址部分长度定位9位。

 

从Page Map Level 4(PML4)开始到最后的物理地址，每一个都可以理解成一层页表的索引，索引值就是线性地址上不同的部分，分别缩写是PML4, PDPE, PDE,PTE。 

 

使用windbg可以先查看进程对应的DirBase地址，然后再使用!vtop Dirbase地址 虚拟地址查看虚拟地址对应的物理地址，如下。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

3: kd> !process 258c 0

Searching for Process with Cid == 258c

PROCESS ffffc40d2ab48340

    SessionId: 1  Cid: 258c    Peb: a6e35cd000  ParentCid: 1250

    DirBase: 235ae6000  ObjectTable: ffff998138d4ee00  HandleCount:  38.

    Image: test.exe

3: kd> !vtop 235ae6000 0000A6E334FB00

Amd64VtoP: Virt 000000a6e334fb00, pagedir 0000000235ae6000

Amd64VtoP: PML4E 0000000235ae6008

Amd64VtoP: PDPE 00000001087fb4d8

Amd64VtoP: PDE 000000010f7fc8c8

Amd64VtoP: PTE 00000000ad207a78

Amd64VtoP: Mapped phys 000000011b10cb00

Virtual address a6e334fb00 translates to physical address 11b10cb00.

上面得到DirBase的值是235ae6000，然后需要查看物理地址的虚拟地址是0x0000A6E334FB00，就使用命令

1

!vtop 235ae6000 0000A6E334FB00

得到最后对应的物理地址是0x11b10cb00。

简单例子代码如下：

1

2

3

4

5

6

7

8

9

10

11

#include <stdio.h>

#include <stdlib.h>

int main() {

    char flag[] = {"flag{b7285d748dd042a4929d3dbec778e637}"};

    printf("value addr: %p", flag);

    getchar();

    return 0;

}

运行后可以打印出来字符串的虚拟地址0000A6E334FB00，然后通过上述步骤得到物理地址。

我们尝试看看物理内存中的字符串，现在已经确定物理内存的地址是0xD0000147，使用!db 0xD0000147来查看物理内存，记住要!,没有感叹号的是查看虚拟内存的

1

2

3

4

5

6

7

8

9

3: kd> !db 0x11b10cb00

#11b10cb00 66 6c 61 67 7b 62 37 32-38 35 64 37 34 38 64 64 flag{b7285d748dd

#11b10cb10 30 34 32 61 34 39 32 39-64 33 64 62 65 63 37 37 042a4929d3dbec77

#11b10cb20 38 65 36 33 37 7d 00 00-f8 82 20 82 f7 7f 00 00 8e637}.... .....

#11b10cb30 00 00 00 00 00 00 00 00-20 13 1f 82 f7 7f 00 00 ........ .......

#11b10cb40 00 00 00 00 00 00 00 00-99 13 1f 82 f7 7f 00 00 ................

#11b10cb50 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................

#11b10cb60 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................

#11b10cb70 00 00 00 00 00 00 00 00-44 73 d3 08 fe 7f 00 00 ........Ds......

可以看到物理内存上的字符串内容。

DirBase地址获取

DirBase地址除了通过上述windbg直接得到这个值以外，还可以通过EPROCESS来得到，这个是代码比较需要的

1

2

3

4

5

6

7

8

9

10

11

12

13

3: kd> dt _eprocess ffffc40d2ab48340

nt!_EPROCESS

   +0x000 Pcb              : _KPROCESS

   +0x438 ProcessLock      : _EX_PUSH_LOCK

   +0x440 UniqueProcessId  : 0x00000000`0000258c Void

   +0x448 ActiveProcessLinks : _LIST_ENTRY [ 0xffffc40d`2cb43788 - 0xffffc40d`2cd444c8 ]

   +0x458 RundownProtect   : _EX_RUNDOWN_REF

   .....

3: kd> dx -id 0,0,ffffc40d23c95040 -r1 (*((ntkrnlmp!_KPROCESS *)0xffffc40d2ab48340))

(*((ntkrnlmp!_KPROCESS *)0xffffc40d2ab48340))                 [Type: _KPROCESS]

    [+0x000] Header           [Type: _DISPATCHER_HEADER]

    [+0x018] ProfileListHead  [Type: _LIST_ENTRY]

    [+0x028] DirectoryTableBase : 0x235ae6000 [Type: unsigned __int64]

DirectoryTableBase的值就是DirBase地址了，实际上就是EPROCESS + 0x28的偏移

还可以通过获取CR3寄存器的值，CR3寄存器中的值就是页目录表的物理地址，也就是DirBase

思路

目的：进程B可以通过修改物理内存的内容来修改进程A内存中的数据

实验设置：进程A泄露一个变量地址，然后等待进程B修改，修改后再回复执行，打印变量值看是否修改成功

内核部分思路：

  • 将R3的虚拟地址转换为物理地址
  • 使用MmCopyMemory复制物理地址内容
  • 修改内容
  • 使用mmMapIoSpaceEx将修改后的内容映射回物理地址

代码实现

被修改进程代码

这里写一个例子来充当被攻击（修改内存）的进程。主要就是打印变量内容和地址，然后暂停程序等待一段时间（等待被驱动修改），然后再打印变量内容，看看是否被驱动修改内存成功。

1

2

3

4

5

6

7

8

9

10

11

12

13

#include <stdio.h>

#include <stdlib.h>

int main() {

    char flag[] = {"flag{b7285d748dd042a4929d3dbec778e637}"};

    printf("value addr: %p\r\n", flag);

    printf("flag data: %s\r\n", flag);

    getchar();

    printf("flag data Now: %s\r\n", flag);

    return 0;

}

驱动代码

这里就是主要逻辑，通过驱动代码取修改目标进程的内存内容，做到跨进程内存读取，修改。

定义一个读取物理内存函数

1

2

3

4

5

6

7

8

9

10

11

12

13

14

/// @brief 读取物理地址的内存内容

/// @param address 物理地址

/// @param buffer 复制内存地址到buffer

/// @param size 复制大小

/// @param BytesTransferred 读取的字节数

/// @return

NTSTATUS ReadPhysicalAddress(IN PVOID64 address, OUT PVOID64 buffer,

                             IN SIZE_T size, OUT SIZE_T* BytesTransferred)

{

    MM_COPY_ADDRESS Read          = {0};

    Read.PhysicalAddress.QuadPart = (LONG64)address;

    return MmCopyMemory(

        buffer, Read, size, MM_COPY_MEMORY_PHYSICAL, BytesTransferred);

}

再定义一个写入物理内存的函数

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

/// @brief 写入指定内容到物理内存中

/// @param address 被写入的物理地址

/// @param buffer 需要写入的缓冲区指针

/// @param size 需要写入的大小

/// @param BytesTransferred 写入成功后的大小

/// @return

NTSTATUS WritePhysicalAddress(IN PVOID64 address, IN PVOID64 buffer,

                              IN SIZE_T size, OUT SIZE_T* BytesTransferred)

{

    PVOID            map;

    PHYSICAL_ADDRESS Write = {0};

    if (!address) {

        kprintf("Address value error. \r\n");

        return STATUS_UNSUCCESSFUL;

    }

    Write.QuadPart = (LONG64)address;

    map            = MmMapIoSpaceEx(Write, size, PAGE_READWRITE);

    if (!map) {

        kprintf("Write Memory faild.\r\n");

        return STATUS_UNSUCCESSFUL;

    }

    RtlCopyMemory(map, buffer, size);

    *BytesTransferred = size;

    MmUnmapIoSpace(map, size);

    return STATUS_SUCCESS;

}

我们需要将虚拟地址转换成物理地址，那么首先需要线性地址+DirBase地址，DirBase地址获取是通过PEPROCESS+0x28偏移读取的

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

/// @brief 通过EPROCESS获取DirBase值

/// @param pid 进程PID

/// @param pDirbase 一个UINT64指针，获取成功后返回值

/// @return

NTSTATUS GetDirBaseByEprocess(IN UINT64 pid, OUT PUINT64 pDirbase)

{

    PEPROCESS pEprocess;

    NTSTATUS  status;

    status = PsLookupProcessByProcessId((HANDLE)pid, &pEprocess);

    if (!NT_SUCCESS(status)) {

        kprintf("[!] Get Pid=%d _EPROCESS failed!", pid);

        return STATUS_UNSUCCESSFUL;

    }

    *pDirbase =

        *(PUINT64)((PUCHAR)pEprocess + WIN10_21H1_EPROCESS2DIRBASE_OFFSET);

    kprintf("[+] uDirBase ==> %llx\r\n", *pDirbase);

    return STATUS_SUCCESS;

}

得到DirBase后，就可以虚拟地址转换物理地址。

传入虚拟地址后，取后48bit，然后将这48bit分成4个9bit和最后12bit，分别是PML4，PDPE，PDE，PTE和页内偏移offset。需要注意的是DirBase就已经是物理内存了，所以读取DirBase内容并且一层一层读取都要用自定义函数ReadPhysicalAddress。

每一层都是基地址+8*偏移，读取的内容，取12-35bit就是下一层的基地址

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

/// @brief 传入DirBase值和虚拟地址后，回转化成一个物理地址返回

/// @param DirBase DirBase地址，传入一个UINT64值

/// @param addr 传入一个指向虚拟地址的指针，转化成物理地址后会修改这个指针的值

/// @return

NTSTATUS TranslateAddress(IN UINT64 DirBase, _Inout_ PUINT64 addr)

{

    UINT16   PML4, PDPE, PDE, PTE, offset;

    UINT64   mask = 0x7fffff000;

    UINT64   uTmp;

    SIZE_T   BytesTransferred;

    NTSTATUS status;

    offset = *addr & 0xfff;

    PTE    = (*addr >> 12) & 0x1ff;

    PDE    = (*addr >> (12 + 9)) & 0x1ff;

    PDPE   = (*addr >> (9 * 2 + 12)) & 0x1ff;

    PML4   = (*addr >> (9 * 3 + 12)) & 0x1ff;

    status = ReadPhysicalAddress(

        (PVOID64)(DirBase + PML4 * 8), &uTmp, sizeof(uTmp), &BytesTransferred);

    uTmp &= mask;

    kprintf("[+] PML4(%x) ==> %llx\r\n", PML4, uTmp);

    status = ReadPhysicalAddress(

        (PVOID64)(uTmp + PDPE * 8), &uTmp, sizeof(uTmp), &BytesTransferred);

    uTmp &= mask;

    kprintf("[+] PDPE(%x) ==> %llx\r\n", PDPE, uTmp);

    status = ReadPhysicalAddress(

        (PVOID64)(uTmp + PDE * 8), &uTmp, sizeof(uTmp), &BytesTransferred);

    uTmp &= mask;

    kprintf("[+] PDE(%x) ==> %llx\r\n", PDE, uTmp);

    status = ReadPhysicalAddress(

        (PVOID64)(uTmp + PTE * 8), &uTmp, sizeof(uTmp), &BytesTransferred);

    uTmp &= mask;

    kprintf("[+] PTE(%x) ==> %llx\r\n", PTE, uTmp);

    *addr = uTmp + offset;

    kprintf("[+] physical address: %llx\r\n", *addr);

    return STATUS_SUCCESS;

}

最后再主函数中定义一下逻辑。这里直接手动指定进程号和目标进程打印出来的变量地址，然后将虚拟地址转化成物理地址，读取物理地址上的内容并打印出来看看是否正确。再修改物理地址上的内容。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING path)

{

    NTSTATUS status;

    UINT64   pid, uAddr, uDirBase;

    SIZE_T   BytesTransferred;

    UCHAR    charArry[40] = {0};

    UCHAR    example[40] = {"Yes I change memory by physical"};

    pid   = 10276;

    uAddr = 0x3629FAFB80;

    pDriver->DriverUnload = DriverUnload;

    // 手动指定进程号

    status = GetDirBaseByEprocess(pid, &uDirBase);

    if (!NT_SUCCESS(status)) {

        kprintf("[!] Get DirBase address failed!\r\n");

        return STATUS_UNSUCCESSFUL;

    }

    // 将虚拟地址转化成物理地址

    status = TranslateAddress(uDirBase, &uAddr);

    if (!NT_SUCCESS(status)) {

        kprintf("[!] Translate address failed!\r\n");

        return STATUS_UNSUCCESSFUL;

    }

    // 读取物理地址内容, 然后修改内容

    ReadPhysicalAddress((PVOID64)uAddr, charArry, 40, &BytesTransferred);

    kprintf("[+] data is %s\r\n", charArry);

    // 将example字符串写入物理内存

    WritePhysicalAddress((PVOID64)uAddr, example, 40, &BytesTransferred);

    kprintf("[+] Write end\r\n");

    return STATUS_SUCCESS;

}

结果

目标进程

 

可以看到目标进程的指定内存被修改，同时驱动也跨进程读取，修改内存成功 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/bicheng/14385.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

刷题之从前序遍历与中序遍历序列构造二叉树（leetcode)

刷题之从前序遍历与中序遍历序列构造二叉树（leetcode)

从前序遍历与中序遍历序列构造二叉树 前序遍历&#xff1a;中左右 中序遍历&#xff1a;左中右 前序遍历的第一个数必定为根节点&#xff0c;再到中序遍历中找到该数&#xff0c;数的左边是左子树&#xff0c;右边是右子树&#xff0c;进行递归即可。 #include<vector>…
阅读更多...
Juniper查看并调整策略顺序

Juniper查看并调整策略顺序

1.查看安全策略 >show security policies 顺序就是按照显示出来的顺序&#xff0c;与Index无关&#xff0c;从上到下匹配 2. 调整防火墙策略 #insert security policies from-zone CAMERAS to-zone INTERNET policy CAMERAS-to-NTP before policy CAMERAS-to-INTERNET …
阅读更多...
操作系统3_作业与处理机调度

操作系统3_作业与处理机调度

操作系统3_作业与处理机调度 文章目录 操作系统3_作业与处理机调度1. 作业的概念与组成2. 作业的建立及状态3. 处理机调度相关概念3.1 调度级别3.2 调度队列模型3.3 选择准则4. 作业调度与进程调度5. 典型处理机调度算法5.1 先来先服务算法FCFS5.2 短作业优先算法SJF5.3 优先级…
阅读更多...
拨云见日，ATFX七场研讨会揭秘投资先机

拨云见日，ATFX七场研讨会揭秘投资先机

财经先机&#xff0c;一手掌握。近期&#xff0c;随着国际金价持续走高&#xff0c;避险情绪高涨&#xff0c;由此激发新一轮投资热潮。作为业界领先的金融创新品牌&#xff0c;ATFX深受投资者认可和信赖&#xff0c;为助力广大投资者了解市场运行规律&#xff0c;捕捉财经脉络…
阅读更多...
怎么画思维导图？方法介绍

怎么画思维导图？方法介绍

怎么画思维导图&#xff1f;在数字化时代&#xff0c;思维导图已成为我们工作、学习和生活中的得力助手。它不仅能帮助我们更好地组织和表达思想&#xff0c;还能提升我们的思维能力和创造力。那么&#xff0c;哪些软件可以画思维导图呢&#xff1f;本文将为你揭秘几款功能强大…
阅读更多...
Linux 应用入门（一）

Linux 应用入门（一）

1. 交叉编译 概念&#xff1a;在当前编译平台下&#xff0c;编译出来的程序能运行在体系结构不同的另一种目标平台上&#xff0c;但是编译平台本身却不能运行该程序。 为什么需要交叉编译&#xff1f; 速度&#xff1a;目标平台得运行速度比主机往往慢得多&#xff0c;因为许多…
阅读更多...
Docker+nginx部署SpringBoot+vue前后端分离项目（保姆及入门指南）

Docker+nginx部署SpringBoot+vue前后端分离项目（保姆及入门指南）

前后分离项目部署 项目回顾工具上线准备1、win1.1、前端1.2、后端 2、linux环境2.1、安装docker2.2、安装docker compose2.3、编写Dockerfile文件2.4、编写docker-compose.yml文件2.5、修改application-pro.yml2.6、准备好nginx的挂载目录和配置2.7、部署后端服务 项目回顾 书…
阅读更多...
数据挖掘实战-基于内容协同过滤算法的电影推荐系统

数据挖掘实战-基于内容协同过滤算法的电影推荐系统

&#x1f935;‍♂️ 个人主页&#xff1a;艾派森的个人主页 ✍&#x1f3fb;作者简介&#xff1a;Python学习者 &#x1f40b; 希望大家多多支持&#xff0c;我们一起进步&#xff01;&#x1f604; 如果文章对你有帮助的话&#xff0c; 欢迎评论 &#x1f4ac;点赞&#x1f4…
阅读更多...
OpenHarmony集成OCR三方库实现文字提取

OpenHarmony集成OCR三方库实现文字提取

1. 简介 Tesseract(Apache 2.0 License)是一个可以进行图像OCR识别的C库&#xff0c;可以跨平台运行 。本样例基于Tesseract库进行适配&#xff0c;使其可以运行在OpenAtom OpenHarmony&#xff08;以下简称“OpenHarmony”&#xff09;上&#xff0c;并新增N-API接口供上层应…
阅读更多...
Ubuntu服务器运行Subspace节点和Farm

Ubuntu服务器运行Subspace节点和Farm

提供Subspace 节点部署&性能优化&机房托管&运维监控等服务。myto88 磁盘格式化 将插入的磁盘格式化。 sudo mkfs.ext4 -m 0 -T largefile4 /dev/sd*磁盘挂载 此处为语雀内容卡片&#xff0c;点击链接查看&#xff1a;https://www.yuque.com/u25096009/lvoxa…
阅读更多...
企商在线荣登甲子光年“2024中国AI算力层创新企业”榜单

企商在线荣登甲子光年“2024中国AI算力层创新企业”榜单

5月15日&#xff0c;「AI创生时代——2024甲子引力X科技产业新风向」大会在北京顺利举办&#xff0c;大会发布2024【星辰100】创新企业榜。企商在线凭借全栈式一体化AI算力能力&#xff0c;与超聚变、寒武纪等企业共同入选“2024中国AI算力层创新企业”榜单。 本次大会由中国科…
阅读更多...
AJAX(JQuery版本)

AJAX(JQuery版本)

目录 前言 一.load方法 1.1load()简介 1.2load()方法示例 1.3load()方法回调函数的参数 二.$.get()方法 2.1$.get()方法介绍 2.2详细说明 2.3一些例子 2.3.1请求test.php网页并传送两个参数 2.3.2显示test返回值 三.$.post()方法 3.1$.post()方法介绍 3.2详细说明 …
阅读更多...
什么是云计算安全？如何保障云计算安全

什么是云计算安全？如何保障云计算安全

云计算彻底改变了数据存储的世界&#xff0c;它使企业可以远程存储数据并随时随地从任何位置访问数据。存和取变得简单&#xff0c;也使得云上数据极易造成泄露或者被篡改&#xff0c;所以云计算安全就显得非常重要了。那么什么是云计算安全&#xff1f; 其实&#xff0c;云计…
阅读更多...
WPS PPT学习笔记 1 排版4原则等基本技巧整理

WPS PPT学习笔记 1 排版4原则等基本技巧整理

排版原则 PPT的排版需要满足4原则&#xff1a;密性、对齐、重复和对比4个基本原则。 亲密性 彼此相关的元素应该靠近&#xff0c;成为一个视觉单位&#xff0c;减少混乱&#xff0c;形成清晰的结构。 两端对齐&#xff0c;1.5倍行距 在本例中&#xff0c;19年放左边&#x…
阅读更多...
自定义文字线性

自定义文字线性

阅读更多...
是谁的项目还在烂大街？一个基于 SpringBoot 的高性能短链系统

是谁的项目还在烂大街？一个基于 SpringBoot 的高性能短链系统

看了几百份简历&#xff0c;真的超过 90% 的小伙伴的项目是商城、RPC、秒杀、论坛、外卖、点评等等烂大街的项目&#xff0c;人人都知道这些项目烂大街了&#xff0c;但大部分同学还是得硬着头皮做&#xff0c;没办法&#xff0c;网络上能找到的、教程比较完善的就这些项目了&a…
阅读更多...
基于机器学习预测未来的二氧化碳排放量（随机森林和XGBoost）

基于机器学习预测未来的二氧化碳排放量（随机森林和XGBoost）

基于机器学习预测未来的二氧化碳排放量&#xff08;随机森林和XGBoost&#xff09; 简介&#xff1a; CO2排放是当今全球关注的环境问题之一。本文将使用Python对OWID提供的CO2排放数据集进行分析&#xff0c;并尝试构建机器学习模型来预测未来的CO2排放趋势。我们将探索数据…
阅读更多...
kafka Kerberos集群环境部署验证

kafka Kerberos集群环境部署验证

背景 公司需要对kafka环境进行安全验证，目前考虑到的方案有Kerberos和SSL和SASL_SSL，最终考虑到安全和功能的丰富度，我们最终选择了SASL_SSL方案。处于知识积累的角度，记录一下kafka keberos安装部署的步骤。 机器规划 目前测试环境公搭建了三台kafka主机服务，现在将详细…
阅读更多...
ViLT学习

ViLT学习

多模态里程碑式的文章&#xff0c;总结了四种多模态方法&#xff0c;根据文字和图像特征特征抽取方式不通。 文章的贡献主要是速度提高了&#xff0c;使用了数据增强&#xff0c;文本的mask 学习自b站朱老师的论文讲解
阅读更多...
电赛控制类PID算法实现

电赛控制类PID算法实现

一、什么是PID PID&#xff08;Proportional-Integral-Derivative&#xff09;是一种经典的控制算法&#xff0c;广泛应用在自动化控制系统中。它是通过对被控对象的测量值和设定值进行比较&#xff0c;并根据误差的大小来调整输出信号&#xff0c;实现对被控对象的稳定控制。 …
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023