একটি নির্দিষ্ট প্রক্রিয়ার মধ্যেই এনভায়রনমেন্ট টেবিলটি ওভাররাইট করে এটি করা সম্ভব।
ধারণার প্রমাণ হিসাবে আমি এই নমুনা অ্যাপ্লিকেশনটি লিখেছিলাম, যা কেবলমাত্র একটি সিএমডি.এক্সই প্রক্রিয়াতে একটি একক (পরিচিত) পরিবেশ পরিবর্তনশীল সম্পাদনা করেছে:
typedef DWORD (__stdcall *NtQueryInformationProcessPtr)(HANDLE, DWORD, PVOID, ULONG, PULONG);
int __cdecl main(int argc, char* argv[])
{
HMODULE hNtDll = GetModuleHandleA("ntdll.dll");
NtQueryInformationProcessPtr NtQueryInformationProcess = (NtQueryInformationProcessPtr)GetProcAddress(hNtDll, "NtQueryInformationProcess");
int processId = atoi(argv[1]);
printf("Target PID: %u\n", processId);
// open the process with read+write access
HANDLE hProcess = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION | PROCESS_VM_READ | PROCESS_VM_WRITE | PROCESS_VM_OPERATION, 0, processId);
if(hProcess == NULL)
{
printf("Error opening process (%u)\n", GetLastError());
return 0;
}
// find the location of the PEB
PROCESS_BASIC_INFORMATION pbi = {0};
NTSTATUS status = NtQueryInformationProcess(hProcess, ProcessBasicInformation, &pbi, sizeof(pbi), NULL);
if(status != 0)
{
printf("Error ProcessBasicInformation (0x%8X)\n", status);
}
printf("PEB: %p\n", pbi.PebBaseAddress);
// find the process parameters
char *processParamsOffset = (char*)pbi.PebBaseAddress + 0x20; // hard coded offset for x64 apps
char *processParameters = NULL;
if(ReadProcessMemory(hProcess, processParamsOffset, &processParameters, sizeof(processParameters), NULL))
{
printf("UserProcessParameters: %p\n", processParameters);
}
else
{
printf("Error ReadProcessMemory (%u)\n", GetLastError());
}
// find the address to the environment table
char *environmentOffset = processParameters + 0x80; // hard coded offset for x64 apps
char *environment = NULL;
ReadProcessMemory(hProcess, environmentOffset, &environment, sizeof(environment), NULL);
printf("environment: %p\n", environment);
// copy the environment table into our own memory for scanning
wchar_t *localEnvBlock = new wchar_t[64*1024];
ReadProcessMemory(hProcess, environment, localEnvBlock, sizeof(wchar_t)*64*1024, NULL);
// find the variable to edit
wchar_t *found = NULL;
wchar_t *varOffset = localEnvBlock;
while(varOffset < localEnvBlock + 64*1024)
{
if(varOffset[0] == '\0')
{
// we reached the end
break;
}
if(wcsncmp(varOffset, L"ENVTEST=", 8) == 0)
{
found = varOffset;
break;
}
varOffset += wcslen(varOffset)+1;
}
// check to see if we found one
if(found)
{
size_t offset = (found - localEnvBlock) * sizeof(wchar_t);
printf("Offset: %Iu\n", offset);
// write a new version (if the size of the value changes then we have to rewrite the entire block)
if(!WriteProcessMemory(hProcess, environment + offset, L"ENVTEST=def", 12*sizeof(wchar_t), NULL))
{
printf("Error WriteProcessMemory (%u)\n", GetLastError());
}
}
// cleanup
delete[] localEnvBlock;
CloseHandle(hProcess);
return 0;
}
নমুনা আউটপুট:
>set ENVTEST=abc
>cppTest.exe 13796
Target PID: 13796
PEB: 000007FFFFFD3000
UserProcessParameters: 00000000004B2F30
environment: 000000000052E700
Offset: 1528
>set ENVTEST
ENVTEST=def
মন্তব্য
এই পদ্ধতির সুরক্ষা সীমাবদ্ধতার মধ্যেও সীমাবদ্ধ থাকবে। যদি লক্ষ্যটি উচ্চতর উন্নতি বা উচ্চতর অ্যাকাউন্টে চালিত হয় (যেমন SYSTEM) তবে আমাদের এটির মেমরি সম্পাদনা করার অনুমতি নেই।
আপনি যদি 32-বিট অ্যাপ্লিকেশনটিতে এটি করতে চান তবে উপরের হার্ড কোডিং অফসেটগুলি যথাক্রমে 0x10 এবং 0x48 এ পরিবর্তিত হবে। এই অফসেটগুলি ডিবাগারে _PEB এবং _RTL_USER_PROCESS_PARAMETERS স্ট্রাক্টগুলি বের করে খুঁজে পাওয়া যায় (যেমন WinDbg dt _PEBএবং dt _RTL_USER_PROCESS_PARAMETERS)
ওপিকে যা দরকার তা প্রুফ-অফ-কনসেপ্টটি পরিবর্তনের জন্য, এটি কেবলমাত্র বর্তমান সিস্টেম এবং ব্যবহারকারীর পরিবেশের ভেরিয়েবলগুলি গণনা করবে (যেমন @ সাসডোকের উত্তর দ্বারা নথিভুক্ত) এবং লক্ষ্য প্রক্রিয়াটির স্মৃতিতে পুরো পরিবেশ সারণীটি লিখবে।
সম্পাদনা করুন: পরিবেশগত ব্লকের আকারটি _RTL_USER_PROCESS_PARAMETERS স্ট্রাক্টেও সংরক্ষণ করা হয়, তবে মেমরিটি প্রক্রিয়াটির গাদাতে বরাদ্দ করা হয়। সুতরাং একটি বাহ্যিক প্রক্রিয়া থেকে আমাদের এটির আকার পরিবর্তন এবং এটি আরও বড় করে তোলার ক্ষমতা থাকবে না। আমি পরিবেশ সংরক্ষণের জন্য লক্ষ্য প্রক্রিয়ায় অতিরিক্ত মেমরির বরাদ্দ করার জন্য ভার্চুয়ালআলোকেক্স ব্যবহার করে ঘুরেছি, এবং সম্পূর্ণ নতুন টেবিল সেট এবং পড়তে সক্ষম হয়েছি। দুর্ভাগ্যক্রমে পরিবেশকে স্বাভাবিক উপায়ে পরিবর্তন করার যে কোনও প্রচেষ্টা ক্র্যাশ হয়ে জ্বলে উঠবে কারণ ঠিকানাটি আর .িপিটির দিকে নির্দেশ করে না (এটি RtlSizeHeap এ ক্র্যাশ হবে)।