百度360必应搜狗淘宝本站头条
当前位置:网站首页 > 技术分析 > 正文

驱动保护 -- 向被保护的内存写数据

liebian365 2024-10-20 10:00 25 浏览 0 评论

一、驱动层写数据源码

1、具体功能实现

BOOLEAN KWriteProcessMemory(IN PEPROCESS 目标进程, IN PVOID 被写入地址, IN UINT32 写入长度, IN PVOID 待写入数据)
{


  KAPC_STATE apc_state;
  RtlZeroMemory(&apc_state, sizeof(KAPC_STATE));
  //创建MDL来读取内存
  PMDL 映射内存结构 = IoAllocateMdl(待写入数据, 写入长度, 0, 0, NULL);
  if (!映射内存结构)
  {
    return FALSE;
  }
  //将映射内存变成可读
  MmBuildMdlForNonPagedPool(映射内存结构);
  //获取可读的地址
  unsigned char* 可写内存 = (unsigned char*)MmMapLockedPages(映射内存结构, KernelMode);
  if (!可写内存)
  {
    IoFreeMdl(映射内存结构);
    return FALSE;
  }
  //切换到目标进程进行操作
  KeStackAttachProcess((PVOID)目标进程, &apc_state);


  //判断该地址是否可读
  BOOLEAN 是否可读 = MmIsAddressValid(被写入地址);
  if (是否可读)
  {


    RtlCopyMemory(被写入地址, 可写内存,  写入长度);


  }
  else
  {
    KdPrint(("nxyn2不可读"));
  }
  //恢复环境
  KeUnstackDetachProcess(&apc_state);
  MmUnmapLockedPages((PVOID)可写内存, 映射内存结构);
  IoFreeMdl(映射内存结构);


  return 是否可读;
}




int WriteProcessMemoryForPid(UINT32 dwPid, PVOID 目标地址, PVOID 写入地址, UINT32 写入大小)
{
  //根据pid获取PEPROCESS
  PEPROCESS Seleted_pEPROCESS = NULL;
  if (PsLookupProcessByProcessId((PVOID)(UINT_PTR)(dwPid), &Seleted_pEPROCESS) == STATUS_SUCCESS)
  {


    BOOLEAN br = KWriteProcessMemory(Seleted_pEPROCESS, (PVOID)目标地址, 写入大小, 写入地址);
    ObDereferenceObject(Seleted_pEPROCESS);
    if (br)
    {
      return 写入大小;
    }
  }
  else
  {
    KdPrint(("nxyn 2读取失败"));
  }


  return 0;


}


NTSTATUS  IRP_WriteProcessMemory(PIRP pirp)
{




  NTSTATUS ntStatus = STATUS_SUCCESS;
  PIO_STACK_LOCATION     irpStack = NULL;
  irpStack = IoGetCurrentIrpStackLocation(pirp);


#pragma pack(push)
#pragma pack(8)
  typedef struct TINPUT_BUF
  {
    UINT64 dwPid;//目标进程PID
    PVOID 被写入地址;
    UINT64 写入长度;
    UINT64 写入地址;
  }TINPUT_BUF;
#pragma pack(pop)




  TINPUT_BUF* 输入数据 = (TINPUT_BUF*)(pirp->AssociatedIrp.SystemBuffer);




  WriteProcessMemoryForPid(输入数据->dwPid, 输入数据->被写入地址, 输入数据->写入地址/*起始地址*/, 输入数据->写入长度);




  if (irpStack) //
  {
    if (ntStatus == STATUS_SUCCESS)
    { //成功则返回 缓冲区大小
      pirp->IoStatus.Information = irpStack->Parameters.DeviceIoControl.OutputBufferLength;//DeviceIoControl
    }
    else
    { //失败则不返回
      pirp->IoStatus.Information = 0;
    }
    //完成请求
    IoCompleteRequest(pirp, IO_NO_INCREMENT);
  }


  pirp->IoStatus.Status = ntStatus;
  return ntStatus;
}

2、在头文件声明IRP_WriteProcessMemory函数

NTSTATUS  IRP_WriteProcessMemory(PIRP pirp);

3、控制码关联

#define irp写被保护数据   CTL_CODE(FILE_DEVICE_UNKNOWN, 0x808,     METHOD_BUFFERED,FILE_ANY_ACCESS)


    else if (控制码== irp写被保护数据)
    {
      return IRP_WriteProcessMemory(IRP指针);
    }

二、应用层实现

1、添加一个按钮

2、源码实现

#define irp写被保护数据   CTL_CODE(FILE_DEVICE_UNKNOWN, 0x808,     METHOD_BUFFERED,FILE_ANY_ACCESS)


void CtestDlg::OnBnClickedButtonXrsj2()
{
#pragma pack(push)
#pragma pack(8)
  typedef struct TINPUT_BUF
  {
    UINT64 dwPid;//目标进程PID
    PVOID 被写入地址;
    UINT64 写入长度;
    UINT64 写入地址;


  }TINPUT_BUF;
#pragma pack(pop)


  UpdateData(true);
  DWORD 返回字节数 = 0;
  DWORD 临时数据 = 0;
  UINT_PTR 地址 = 0x406728;
  UINT64 待写入数据 = 123;
  TINPUT_BUF 输入缓存区 = { mbpid,(PVOID)地址,4 ,(UINT64) & 待写入数据};
  DeviceIoControl(
    设备句柄,
    irp写被保护数据,
    &输入缓存区,
    sizeof(TINPUT_BUF),
    &临时数据,
    sizeof(临时数据),
    &返回字节数,
    NULL
  );
  char 缓存[256];
  sprintf_s(缓存, "2写被保护值%X", 临时数据);
  ::MessageBoxA(0, 缓存, "2写被保护测试", MB_OK);
}



相关推荐

C++零基础入门学习指南(中篇)

目标:像拼装乐高一样理解程序模块,掌握内存管理核心技能...

“5 分钟 CMake 使用指南,解决我的 C++ 打包问题!”

...

Linux下跨语言调用C++实践

不同的开发语言适合不同的领域,例如Python适合做数据分析,C++适合做系统的底层开发,假如它们需要用到相同功能的基础组件,组件使用多种语言分别开发的话,不仅增加了开发和维护成本,而且不能确保多种语...

输入格式控制:C++程序中的数据接收与处理技巧

在C++编程中,输入输出是非常基本且重要的操作。尤其是输入部分,程序员通常需要从用户那里获取数据,并根据不同的输入格式进行处理。然而,用户的输入往往是多样化的,如何有效地控制输入格式,确保程序正确接收...

常见读写excel文件的库/类

在C++语言中读写EXCEL表格,有这几种方法:COM方式、ODBC方式、OLE方式、纯底层格式分析方式。Basicexcel使用方法:https://www.cnblogs.com/paullam/...

C++文档识别接口如何实现 高效办公

  数字化信息爆炸时代,办公效率的提升成为企业和个人的迫切需求。人工智能技术的飞速发展,为我们带来了前所未有的便利,翔云文档识别接口便是其中之一。  与传统的人工手动录入相比,文档识别接口优势显著。人...

C++如何生成Microsoft Word文档

...

超实用C++学习指南:语法要点、经典书籍、实战案例全汇总!

以下是为您整理的C++学习指南,综合了语法要点、资源推荐及实战方向,结合搜索结果和经典知识体系,帮助您系统学习:一、C++基础语法学习指南1.核心概念oC++是静态类型、编译式语言,支持面向对象和...

掌握C++文件读写,让代码更灵动!

文章改写指令通常涉及对原有文本进行调整、重组或重新表达,以保持或增强信息的准确性和可读性,同时可能改变风格、语气或目标受众。以下是一些具体的文章改写指令示例:·2.简化语言:→指令:将文章中的复杂词汇...

闲置宽带能换钱?P2P CDN、无线宝、赚钱宝到底靠不靠谱

无线宝类产品其实由来已久,无线宝类产品即与支付宝、余额宝、余利宝等货币基金毫无干系,与区块链“挖币”更存在本质的不同,而是一种利用家庭中的闲置宽带,通过流量来换取佣金的产品。无线宝类产品其实在过去几年...

攻略什么?闲置宽带还可以赚钱?

现在很多朋友在使用10Mbps、50Mbps甚至100Mbps的高速宽带,不过普通用户并不是长时间都需要这么高速的宽带。比如对于100Mbps的宽带用户,在日常浏览网页时,基本上2Mbps左右的带宽即...

明日学业水平考试开始报名 详细步骤都在这里

点击上面蓝字关注我们哦~日前,山东省教育考试院发布了《山东省2019年夏季学业水平考试报名考生操作说明》(点击文末阅读原文查看),明天就到了报名的时候了,详细的报名步骤、网上缴费流程、追加报考科目等...

瞄准用户上传带宽:HiWiFi 极路由 联合 迅雷 推出 “极赚钱”套餐

上次总理谈到宽带降价问题时,很多网友除了吐槽网速慢费用贵,还反映宽带网络的上下行速度不对等。比如说以前ADSL2M的宽带只有512Kbps的上行速度,现在升级到光纤网络之后,按理说技术上实现上下行...

揭秘P2P平台刷数据:交易额从100万到1200万

(作者:峰岭、刘珺、周娜)从默默无闻到万众瞩目,从“零数据”到“大数据”,从小众投资到大众理财,从个人借贷到企业借款,从个人信用到车、房、资产抵押……近两年来P2P行业以迅雷之速快速爆发,P2P平台也...

运营商让我签这个宽带违规使用告知函,我懵逼了

特么的是爱奇艺迅雷自己上传的p2p数据,btpt也会上传,直播也会上传,监控也会,传文件也会,到底他么的运营商你要干个啥啊,我不仅没捞着一分好处,夹在中间两头受气!真特么晦气这特么是谁弄的函?完全没搞...

取消回复欢迎 发表评论: