首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 看雪社区
  2. 编程技术
    3. 发新帖
[求助]如何在程序运行之前通过驱动修改地址空间内容？
2016-7-29 15:45 5327

[求助]如何在程序运行之前通过驱动修改地址空间内容？

yindubao 活跃值
2016-7-29 15:45
5327
大家好，

我在驱动层通过基于进程的ID加以下两个函数实现了对应用层进程的修改，但是我想在进程启动但未开始执行代码时，就通过驱动修改应用层进程地址空间的内容。

PsLookupProcessByProcessId((HANDLE)PID, &pEProcess);

//附加到要读写的进程
KeStackAttachProcess((PRKPROCESS)pEProcess, &KAPC);

我起初通过程序创建了目标进程后并调用 ResumeThread 函数让进程暂停，但是这样到驱动层就无法通过KeStackAttachProcess 附加进程了，也就无法通过驱动来修改应用层空间内容了。

请问大家有什么办法可以让目标进程暂停， 并通过驱动完成修改呢？

谢谢~

[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。

收藏
点赞・0
打赏
分享
最新回复 (4)
hzqst
雪    币： 12839
活跃值： (8998)
能力值： ( LV9，RANK：280 )
在线值：
发帖
回帖
粉丝
私信
hzqst 3 2016-7-29 16:45
2 楼
0
http://www.mengwuji.net/thread-6765-1-1.html

你可以参考一下。时机很重要，否则会死锁
弓bottom长
雪    币： 24
活跃值： (30)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
弓bottom长 2016-7-29 17:01
3 楼
0
我刚想说参考下ring0注入ring3的不料被楼上大神抢先了
LTears
雪    币： 111
活跃值： (80)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
LTears 2016-7-30 15:17
4 楼
0
APC 注入～
yindubao
雪    币： 206
活跃值： (273)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
yindubao 2016-7-30 22:18
5 楼
0
有点感觉，求具体，谢谢哈
游客
登录 | 注册 方可回帖
　回帖　 表情 雪币赚取及消费
高级回复
返回