进程挂靠与跨进程读写

一、

ETHREAD 偏移0x220的位置指向进程结构体

ApcState偏移0x10的位置也指向进程结构体

 

二、

根据线程切换函数(SwapContext函数)，我们可以分析到

线程所需要的CR3的值来源于0x44处的EPROCESS

 

也就是说：

偏移为0x220的位置的EPROCESS结构体指针指向的是创建这个线程的进程结构体

偏移0x44位置的EPROCESS结构体指针指向的是为这个线程提供资源(CR3)的进程结构体

 

三、更改CR3的值为其他进程的值就叫进程挂靠

 

 

访问其他进程的内存就是通过进程挂靠来实现的

 

四、如NtReadVirtualMemory函数就是通过更换CR3来实现跨进程读取数据的

 

 

该函数的工作原理如下：

1、 切换CR3

2、 读取读取到高2G

3、 切换CR3

4、 从高2G复制到目标位置

 

五、NtWriteVirtualMemory函数的工作原理：

1、将数据从目标位置复制到高2G地址

 

2、切换Cr3

 

3、从高2G复制到目标位置

 

4、切换Cr3

 

__EOF__

本文作者：_TLSN
本文链接：https://www.cnblogs.com/lordtianqiyi/articles/15731958.html
关于博主：评论和私信会在第一时间回复。或者直接私信我。
版权声明：本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！
声援博主：如果您觉得文章对您有帮助，可以点击文章右下角【推荐】一下。您的鼓励是博主的最大动力！