-
-
[注意]GetFileVersionInfoSize的返回值请验证下
-
发表于: 2013-12-10 11:17
-
不少反外挂程序会在启动时候调GetFileVersion系列函数来找自己的版本号.验证是否有更新.
在这里.目前基本所有的程序员在使用GetFileVersionInfoSize都不会验证返回的大小.而直接
malloc.这就留下了一个崩溃的隐患
GetFileVersionInfoSize会调用NtMapViewOfSection
然后NtMapViewOfSection内部会调用PsCallImageNotifyRoutines
然后其他驱动注册的ImageNotifyRoutine可以在回调中修改PE结构
返回一个巨大无比的值...ok蹦~
或者返回一个巨小的值..你永远拿不到自己的版本号(GetFileVersionInfo永远会觉的你太小)..
还是会蹦(偷懒直接定义一个值的同学有福了...)
当然 还是那句话.既然都加上驱动了.不如直接HOOK一个啥子函数 在对方的保护进程里面干点事.
在这里.目前基本所有的程序员在使用GetFileVersionInfoSize都不会验证返回的大小.而直接
malloc.这就留下了一个崩溃的隐患
GetFileVersionInfoSize会调用NtMapViewOfSection
然后NtMapViewOfSection内部会调用PsCallImageNotifyRoutines
然后其他驱动注册的ImageNotifyRoutine可以在回调中修改PE结构
返回一个巨大无比的值...ok蹦~
或者返回一个巨小的值..你永远拿不到自己的版本号(GetFileVersionInfo永远会觉的你太小)..
还是会蹦(偷懒直接定义一个值的同学有福了...)
当然 还是那句话.既然都加上驱动了.不如直接HOOK一个啥子函数 在对方的保护进程里面干点事.
|
|
|---|---|
|
|
看来只要使用API，就没什么稳定可言了，因为我们可以HOOK API，让你崩溃掉。
|
|
|
|
|
|
|
|
|
|
|
|
|
