Dimungkinkan untuk melakukan ini dengan menimpa Tabel Lingkungan dalam proses yang ditentukan itu sendiri.
Sebagai bukti konsep, saya menulis aplikasi sampel ini, yang baru saja mengedit satu variabel lingkungan (dikenal) dalam proses cmd.exe:
typedef DWORD (__stdcall *NtQueryInformationProcessPtr)(HANDLE, DWORD, PVOID, ULONG, PULONG);
int __cdecl main(int argc, char* argv[])
{
HMODULE hNtDll = GetModuleHandleA("ntdll.dll");
NtQueryInformationProcessPtr NtQueryInformationProcess = (NtQueryInformationProcessPtr)GetProcAddress(hNtDll, "NtQueryInformationProcess");
int processId = atoi(argv[1]);
printf("Target PID: %u\n", processId);
// open the process with read+write access
HANDLE hProcess = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION | PROCESS_VM_READ | PROCESS_VM_WRITE | PROCESS_VM_OPERATION, 0, processId);
if(hProcess == NULL)
{
printf("Error opening process (%u)\n", GetLastError());
return 0;
}
// find the location of the PEB
PROCESS_BASIC_INFORMATION pbi = {0};
NTSTATUS status = NtQueryInformationProcess(hProcess, ProcessBasicInformation, &pbi, sizeof(pbi), NULL);
if(status != 0)
{
printf("Error ProcessBasicInformation (0x%8X)\n", status);
}
printf("PEB: %p\n", pbi.PebBaseAddress);
// find the process parameters
char *processParamsOffset = (char*)pbi.PebBaseAddress + 0x20; // hard coded offset for x64 apps
char *processParameters = NULL;
if(ReadProcessMemory(hProcess, processParamsOffset, &processParameters, sizeof(processParameters), NULL))
{
printf("UserProcessParameters: %p\n", processParameters);
}
else
{
printf("Error ReadProcessMemory (%u)\n", GetLastError());
}
// find the address to the environment table
char *environmentOffset = processParameters + 0x80; // hard coded offset for x64 apps
char *environment = NULL;
ReadProcessMemory(hProcess, environmentOffset, &environment, sizeof(environment), NULL);
printf("environment: %p\n", environment);
// copy the environment table into our own memory for scanning
wchar_t *localEnvBlock = new wchar_t[64*1024];
ReadProcessMemory(hProcess, environment, localEnvBlock, sizeof(wchar_t)*64*1024, NULL);
// find the variable to edit
wchar_t *found = NULL;
wchar_t *varOffset = localEnvBlock;
while(varOffset < localEnvBlock + 64*1024)
{
if(varOffset[0] == '\0')
{
// we reached the end
break;
}
if(wcsncmp(varOffset, L"ENVTEST=", 8) == 0)
{
found = varOffset;
break;
}
varOffset += wcslen(varOffset)+1;
}
// check to see if we found one
if(found)
{
size_t offset = (found - localEnvBlock) * sizeof(wchar_t);
printf("Offset: %Iu\n", offset);
// write a new version (if the size of the value changes then we have to rewrite the entire block)
if(!WriteProcessMemory(hProcess, environment + offset, L"ENVTEST=def", 12*sizeof(wchar_t), NULL))
{
printf("Error WriteProcessMemory (%u)\n", GetLastError());
}
}
// cleanup
delete[] localEnvBlock;
CloseHandle(hProcess);
return 0;
}
Output sampel:
>set ENVTEST=abc
>cppTest.exe 13796
Target PID: 13796
PEB: 000007FFFFFD3000
UserProcessParameters: 00000000004B2F30
environment: 000000000052E700
Offset: 1528
>set ENVTEST
ENVTEST=def
Catatan
Pendekatan ini juga akan terbatas pada pembatasan keamanan. Jika target dijalankan pada ketinggian yang lebih tinggi atau akun yang lebih tinggi (seperti SISTEM) maka kami tidak akan memiliki izin untuk mengedit memorinya.
Jika Anda ingin melakukan ini pada aplikasi 32-bit, offset kode keras di atas akan berubah menjadi masing-masing 0x10 dan 0x48. Offset ini dapat ditemukan dengan membuang struktur _PEB dan _RTL_USER_PROCESS_PARAMETERS dalam debugger (misalnya di WinDbg dt _PEBdandt _RTL_USER_PROCESS_PARAMETERS )
Untuk mengubah proof-of-concept menjadi apa yang dibutuhkan OP, itu hanya akan menyebutkan sistem saat ini dan variabel lingkungan pengguna (seperti didokumentasikan oleh jawaban @ tsadok) dan menulis seluruh tabel lingkungan ke dalam memori proses target.
Sunting: Ukuran blok lingkungan juga disimpan dalam struktur _RTL_USER_PROCESS_PARAMETERS, tetapi memori dialokasikan pada tumpukan proses. Jadi dari proses eksternal kita tidak akan memiliki kemampuan untuk mengubah ukurannya dan membuatnya lebih besar. Saya bermain-main dengan menggunakan VirtualAllocEx untuk mengalokasikan memori tambahan dalam proses target untuk penyimpanan lingkungan, dan dapat mengatur dan membaca tabel yang sama sekali baru. Sayangnya setiap upaya untuk mengubah lingkungan dari cara normal akan macet dan terbakar karena alamat tidak lagi menunjuk ke tumpukan (itu akan macet di RtlSizeHeap).