首页
社区
课程
招聘
[讨论]一种用户层“伪隐藏”虚拟地址的方法
2022-9-15 19:17 6594

[讨论]一种用户层“伪隐藏”虚拟地址的方法

2022-9-15 19:17
6594

Pretend_HideVirtualMemory

  • 利用物理内存映射,实现虚拟内存的伪隐藏

简单内容:

  • 使用这种方法首先进程必须有SeLockMemoryPrivilege权限。
  • 相关内容资料:Address Windowing Extensions
  • 首先使用AllocateUserPhysicalPages分配一块物理内存
  • 然后使用MapUserPhysicalPages将这块物理内存映射到虚拟内存。
  • 向这块虚拟内存中写入数据
  • 解除映射。
  • 然后搜索进程内存,会发现这块内存找不到了。

为什么是AWE

  • 其实文件映射可以实现类似效果,但是为什么用AWE相关函数呢?
  • 首先文件映射并不是完全没法外部读出,外部进程一样可以映射。
  • 但是MapUserPhysicalPages就不一样了,系统为了防止乱映射物理地址,内部有很多检测,这导致用户层下,MapUserPhysicalPages只能映射自己进程用AllocateUserPhysicalPages分配出的物理内存,用户层下外部基本没法实现直接读出这个物理内存中的数据。

大致代码:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
#include <iostream>
#include <windows.h>
#include <sysinfoapi.h>
#include <memoryapi.h>
 
using namespace std;
 
void EnableSeLockMemoryPrivilege();
 
int main()
{
    SYSTEM_INFO sysInfo;
    ULONG_PTR PageArray = 0;
    ULONG_PTR PageArraySize = 1;
    PVOID Address = NULL;
    BOOL bRet = FALSE;
 
    //调整进程权限
    EnableSeLockMemoryPrivilege();
    //获取系统信息
    GetSystemInfo(&sysInfo);
    //输出PageSize
    cout << "当前系统的PageSize是:" << sysInfo.dwPageSize << "\n";
    //分配一块虚拟内存
    Address = VirtualAlloc(NULL, sysInfo.dwPageSize, MEM_RESERVE|MEM_PHYSICAL, PAGE_READWRITE);
    if (Address == NULL)
    {
        cout << "分配虚拟内存失败!\n";
        return 0;
    }
    //分配物理内存
    bRet = AllocateUserPhysicalPages(GetCurrentProcess(), &PageArraySize, &PageArray);
    if (!bRet) {
        cout << "分配虚拟内存失败!\n";
        return 0;
    }
    //cout << "分配的物理内存是:" << PageArray << "\n";
    //将物理内存映射到虚拟内存
    MapUserPhysicalPages(Address, 1, &PageArray);
    //向虚拟内存写入内容
    *(int*)Address = 114514;
    //解除物理内存映射
    MapUserPhysicalPages(Address, 1, NULL);
    cout << "写入的内容是整数:114514,写入地址:0x" << Address << ",你可以试试能不能搜索到数据,如果搜到了请修改,后面还会读取一次\n";
    system("pause");
    //再次将物理内存映射到虚拟内存
    MapUserPhysicalPages(Address, 1, &PageArray);
    cout << "读取的内容是整数:" << *(int*)Address << "\n";
    //释放物理内存
    FreeUserPhysicalPages(GetCurrentProcess(), &PageArraySize, &PageArray);
    //释放虚拟内存
    VirtualFree(Address, 0, MEM_RELEASE);
    cout << "测试结束\n";
    system("pause");
    return 0;
}
 
void EnableSeLockMemoryPrivilege() {
    //调整当前进程权限,使得进程有SeLockMemory的权限
    HANDLE hToken;
    TOKEN_PRIVILEGES tkp;
    memset(&tkp, 0, sizeof(tkp));
    // Get a token for this process.
    if (!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken))
    {
        cout << "OpenProcessToken failed" << endl;
        return;
    }
    // Get the LUID for the lock memory privilege.
    LookupPrivilegeValue(NULL, SE_LOCK_MEMORY_NAME, &tkp.Privileges[0].Luid);
    tkp.PrivilegeCount = 1// one privilege to set
    tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    // Get the lock memory privilege for this process.
    AdjustTokenPrivileges(hToken, FALSE, &tkp, 0, (PTOKEN_PRIVILEGES)NULL, 0);
    if (GetLastError() != ERROR_SUCCESS)
    {
        cout << "AdjustTokenPrivileges failed" << endl;
        return;
    }
}

结尾:


[培训]《安卓高级研修班(网课)》月薪三万计划,掌握调试、分析还原ollvm、vmp的方法,定制art虚拟机自动化脱壳的方法

收藏
点赞4
打赏
分享
最新回复 (9)
雪    币: 420
活跃值: (585)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
OneShell 2022-9-16 10:08
2
0
请问这个一般可以用来做什么呢?防止调试搜索到内存中的内容么?
雪    币: 2592
活跃值: (3687)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
syser 2022-9-16 11:13
3
0
用的时候要映射啊
雪    币: 2251
活跃值: (2148)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
LexSafe 2022-9-16 11:29
4
0
自己也没法用了 这隐藏有什么用
雪    币: 1
活跃值: (321)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
haxk 2022-9-16 16:50
5
0
这是只能隐藏virtualalloc的内存吧?
雪    币: 237
活跃值: (28)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
xuson 2022-9-20 17:17
6
0
在程序里边内置过期日期,然后这样用可以防破X解?
雪    币: 1204
活跃值: (1504)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Cohen 2022-9-21 00:21
7
0
解除映射了还可以恢复映射吗
雪    币: 3239
活跃值: (2542)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
ANormalUser 2022-9-21 07:42
8
0
Cohen 解除映射了还可以恢复映射吗
肯定是可以的
雪    币: 248
活跃值: (3779)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
luskyc 2022-9-26 17:58
9
0

所以写入的地方是物理页,物理页解除映射后当然搜不到了

最后于 2022-9-26 17:58 被luskyc编辑 ,原因:
雪    币: 3
活跃值: (466)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
拉闸太子 2022-9-29 13:27
10
0
不可执行就没用 执行就一发PTE 直接带走
游客
登录 | 注册 方可回帖
返回