文章目錄

• • 進(jìn)程掛靠
  • • 進(jìn)程與線程的關(guān)系
    • 線程與進(jìn)程如何關(guān)聯(lián)
    • 為什么需要ApcState.Process
    • CR3的值可以隨便改嗎
    • 分析NtReadVirtualMemory函數(shù)
    • 總結(jié)
  • 跨進(jìn)程讀寫內(nèi)存
  • • 跨進(jìn)程操作
    • NtReadVirtualMemory流程解析

進(jìn)程掛靠

進(jìn)程與線程的關(guān)系

一個(gè)進(jìn)程可以包含多個(gè)線程

一個(gè)進(jìn)程至少要有一個(gè)線程

進(jìn)程為線程提供資源，也就是提供CR3的值，CR3中存儲(chǔ)的是頁目錄表的基址，CR3確定了線程能訪問的內(nèi)存也就確定了

mov eax,dowrd ptr ds:[0x12345678]

CPU如何解析0x12345678這個(gè)地址呢？

CPU解析線性地址時(shí)要通過頁目錄表來找到對(duì)應(yīng)的物理頁，頁目錄表基址存在CR3寄存器中

當(dāng)前的CR3的值來源于當(dāng)前的進(jìn)程(_KPROCESS.DirectoryTableBase(+0x018))

線程與進(jìn)程如何關(guān)聯(lián)

ETHREAD結(jié)構(gòu)體：+0x034 ApcState+0x000 ApcListHead +0x010 Process +0x014 KernelApcInProgress+0x015 KernelApcPending+0x016 UserApcPending+0x220 ThreadsProcess

ETHREAD結(jié)構(gòu)體+0x220的位置存儲(chǔ)的就是當(dāng)前線程所屬的進(jìn)程。

另外在KTHREAD結(jié)構(gòu)體0x34的位置是子結(jié)構(gòu)體ApcState，ApcState也有一個(gè)成員Process指向了當(dāng)前線程所屬的進(jìn)程。

這就存在一個(gè)問題，同一個(gè)線程結(jié)構(gòu)體里存了兩份指針，這兩份指針代表什么？

為什么需要ApcState.Process

下面分析SwapContext函數(shù)：

這里首先取出目標(biāo)線程的ApcState.Process存到eax里，然后比較當(dāng)前線程的ApcState.Process和目標(biāo)線程的這個(gè)成員是否相同，如果不相同就說明不屬于同一個(gè)進(jìn)程

代碼繼續(xù)往下走，就會(huì)切換CR3的值

線程切換的時(shí)候，會(huì)比較KTHREAD結(jié)構(gòu)體0x044處指定的EPROCESS是否為同一個(gè)，如果不是同一個(gè)，會(huì)將eax的值取出，賦給CR3。eax此時(shí)存儲(chǔ)的是目標(biāo)線程的ApcState.Process。這個(gè)時(shí)候就發(fā)生了進(jìn)程切換

所以，線程需要的CR3的值來源于0x44處偏移指定的EPROCESS

總結(jié)：

0x220親生父母：這個(gè)線程誰創(chuàng)建的

0x44 養(yǎng)父母：誰在為這個(gè)線程提供資源，也就是提供CR3

一般情況下，0x220與0x44指向的是同一個(gè)進(jìn)程

CR3的值可以隨便改嗎

正常情況下，CR3的值是由養(yǎng)父母提供的，但CR3的值也可以改成和當(dāng)前線程毫不相關(guān)的其他進(jìn)程的DirectoryTableBase

線程代碼：

mov cr3,A.DirectoryTableBase mov eax,dword ptr ds:[0x12345678] //A進(jìn)程的0x12345678內(nèi)存 mov cr3,B.DirectoryTableBase mov eax,dword ptr ds:[0x12345678] //B進(jìn)程的0x12345678內(nèi)存 mov cr3,C.DirectoryTableBase mov eax,dword ptr ds:[0x12345678] //C進(jìn)程的0x12345678內(nèi)存

將當(dāng)前cr3的值改為其他進(jìn)程，稱為進(jìn)程掛靠

分析NtReadVirtualMemory函數(shù)

接下來就通過分析NtReadVirtualMemory函數(shù)，來看看是怎么讀取其他進(jìn)程的內(nèi)存。

[外鏈圖片轉(zhuǎn)存失敗,源站可能有防盜鏈機(jī)制,建議將圖片保存下來直接上傳(img-hprSWzoq-1581511027410)(assets/1581507589446.png)]

首先找到NtReadVirtualMemory函數(shù)

這個(gè)函數(shù)在內(nèi)部調(diào)用了MmCopyVirtualMemory，繼續(xù)跟進(jìn)

真正COPY的函數(shù)是MiDoMappedCopy，繼續(xù)跟進(jìn)

在開始讀取之前先調(diào)用了KeStackAttachProcess，也就是之前說過的進(jìn)程掛靠，繼續(xù)

這個(gè)函數(shù)又繼續(xù)調(diào)用了KiAttachProcess，繼續(xù)跟進(jìn)

這里先將該線程的+0x44位置的ApcState.Process修改為要讀取的進(jìn)程的KPROCESS

然后又調(diào)用KiSwapProcess，真正的掛靠是通過這個(gè)函數(shù)實(shí)現(xiàn)的，繼續(xù)跟進(jìn)

真正關(guān)鍵的代碼是上面兩行，首先取出要讀取進(jìn)程的CR3，+0x18的位置是DirectoryTableBase頁目錄表基址，然后修改CR3為要讀取進(jìn)程的CR3

NtReadVirtualMemory流程總結(jié)

NtReadVirtualMemory

MmCopyVirtualMemory

MiDoMappedCopy

KeStackAttachProcess

KiAttachProcess 修改當(dāng)前線程的ApcState.Process為要掛靠的進(jìn)程

KiSwapProcess修改CR3為要掛靠的進(jìn)程的CR3

既然修改CR3就可以讀取目標(biāo)進(jìn)程的內(nèi)存，那么NtReadVirtualMemory可不可以只修改CR3，不修改當(dāng)前線程的ApcState.Process為要掛靠的進(jìn)程。

答案是不可以。

回顧一下之前的為什么需要ApcState.Process的問題就會(huì)發(fā)現(xiàn)，當(dāng)調(diào)用SwapContext進(jìn)行線程切換的時(shí)候，給CR3賦值的時(shí)候賦的是ApcState.Process的值。

如果沒有修改ApcState.Process，那就意味著ApcState.Process指向的不是掛靠的進(jìn)程，而是自己的父進(jìn)程，一旦這個(gè)時(shí)候發(fā)生線程切換并且在線程切換回來的時(shí)候，NtReadVirtualMemory讀取的就是自己進(jìn)程的內(nèi)存了。

如果我們自己來寫這個(gè)代碼，在切換CR3后關(guān)閉中斷，并且不調(diào)用會(huì)導(dǎo)致線程切換的API，就可以不用修改養(yǎng)父母的值

總結(jié)

正常情況下，當(dāng)前線程使用的CR3是由其所屬進(jìn)程提供的(ETHREAD 0x44偏移處指定的EPROCESS)，正因?yàn)槿绱?#xff0c;A進(jìn)程中的線程只能訪問A進(jìn)程的內(nèi)存

如果要讓A進(jìn)程中的內(nèi)容能夠訪問B進(jìn)程的內(nèi)存，就必須修改CR3的值為B進(jìn)程的頁目錄表基址(DirectoryTableBase)，這就是所謂的進(jìn)程掛靠

跨進(jìn)程讀寫內(nèi)存

跨進(jìn)程的本質(zhì)就是進(jìn)程掛靠，也就是修改CR3的值為目標(biāo)進(jìn)程的頁目錄表基址

跨進(jìn)程操作

A進(jìn)程中的線程代碼

mov cr3,B.DirectoryTableBase //切換Cr3的值為B進(jìn)程 mov eax,dword ptr ds:[0x12345678] //將進(jìn)程B 0x12345678的值存的eax中 mov dword ptr ds:[0x00401234],eax //將數(shù)據(jù)存儲(chǔ)到0x00401234中 mov cr3,A.DirectoryTableBase //切換回Cr3的值

這段代碼的問題在于，當(dāng)我切換CR3為B進(jìn)程的頁目錄基址時(shí)，讀取的是B進(jìn)程的內(nèi)存，那么讀取的這段數(shù)據(jù)該如何傳遞給A進(jìn)程呢？不管將這段數(shù)據(jù)放在哪個(gè)位置，始終都是B進(jìn)程的內(nèi)存空間。

這里需要回顧一下進(jìn)程的地址空間管理，低2GB是每個(gè)進(jìn)程私有的，而高2GB的操作系統(tǒng)共享的。如果在B進(jìn)程將讀取的數(shù)據(jù)放到高2GB共享的內(nèi)核空間，然后在切回CR3的時(shí)候，從高2GB取數(shù)據(jù)，就解決了這個(gè)問題

NtReadVirtualMemory流程解析

我們來看一下NtReadVirtualMemory是如何解決這個(gè)問題的：

首先切換CR3為目標(biāo)進(jìn)程的頁目錄基址

接著將數(shù)據(jù)復(fù)制到高2GB的某一個(gè)位置

然后切回CR3

最后從高2GB復(fù)制到目標(biāo)位置

NtWriteVirtualMemory和NtReadVirtualMemory的執(zhí)行流程類似

總結(jié)

以上是生活随笔為你收集整理的进程线程007 进程挂靠与跨进程读写内存的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。