c++ - WOW64 程序如何覆盖其命令行参数，如 WMI 所示？

Question

我正在尝试编写一个程序，该程序可以在读取命令行参数后屏蔽它们。我知道它存储在 PEB 中，所以我尝试使用 the answer to "How to get the Process Environment Block (PEB) address using assembler (x64 OS)?" by Sirmabus获取并在那里修改它。这是一个执行此操作的最小程序:

#include <wchar.h>
#include <windows.h>
#include <winnt.h>
#include <winternl.h>

// Thread Environment Block (TEB)
#if defined(_M_X64) // x64
PTEB tebPtr = reinterpret_cast<PTEB>(__readgsqword(reinterpret_cast<DWORD_PTR>(&static_cast<NT_TIB*>(nullptr)->Self)));
#else // x86
PTEB tebPtr = reinterpret_cast<PTEB>(__readfsdword(reinterpret_cast<DWORD_PTR>(&static_cast<NT_TIB*>(nullptr)->Self)));
#endif

// Process Environment Block (PEB)
PPEB pebPtr = tebPtr->ProcessEnvironmentBlock;

int main() {
    UNICODE_STRING *s = &pebPtr->ProcessParameters->CommandLine;
    wmemset(s->Buffer, 'x', s->Length / sizeof *s->Buffer);
    getwchar();
}

我将其编译为 32 位和 64 位，并在 32 位和 64 位版本的 Windows 上进行了测试。我使用 Process Explorer 查找命令行，还可以使用此 PowerShell 命令通过 WMI 获取它:

Get-WmiObject Win32_Process -Filter "name = 'overwrite.exe'" | Select-Object CommandLine

我发现这在我测试过的每个组合中都有效，除了在 WOW64 进程上使用 WMI 之外。将我的测试结果总结在表格中:

<表类=“s-表”> <标题> 架构 进程浏览器 WMI <正文> 64 位操作系统( native )上的 64 位可执行文件 ✔️ xxxxxxxxxxxxx ✔️ xxxxxxxxxxxxx 64 位操作系统 (WOW64) 上的 32 位可执行文件 ✔️ xxxxxxxxxxxxx ❌覆盖.exe 32 位操作系统( native )上的 32 位可执行文件 ✔️ xxxxxxxxxxxxx ✔️ xxxxxxxxxxxxx

如何修改我的代码以使其在 WMI WOW64 情况下也能工作？

Answer 1

wow64 进程有 2 个 PEB(32 位和 64 位)和 2 个不同的 ProcessEnvironmentBlock(同样是 32 位和 64 位)。两者都存在命令行。一些工具采用正确的命令行(来自 32 位进程的 32 ProcessEnvironmentBlock)，一些工具则无条件地采用 64 位 ProcessEnvironmentBlock(在 64 位操作系统上)。所以你想要两个 block 中的命令行为零(全部或第一个字符)。为了在“ native ” block 中执行此操作，我们不需要访问 TEB/PEB/ProcessEnvironmentBlock - GetCommandLineW返回指向 ProcessEnvironmentBlock 中命令行字符串的直接指针。所以接下来的代码就足够了:

PWSTR psz = GetCommandLineW();
while (*psz) *psz++ = 0;

或者简单地

*GetCommandLineW() = 0;

够了

作为旁注，获取 TEB 指针不需要编写自己的宏 - NtCurrentTeb()宏已存在于 winnt.h

中

从 32 位进程访问 64 位 ProcessEnvironmentBlock 已经不是小事了。 one way评论中建议。 另一种更简单的方法，但没有记录 - 调用 NtQueryInformationProcess与ProcessWow64Information

When the ProcessInformationClass parameter is ProcessWow64Information, the buffer pointed to by the ProcessInformation parameter should be large enough to hold a ULONG_PTR. If this value is nonzero, the process is running in a WOW64 environment. Otherwise, the process is not running in a WOW64 environment.

所以这个值接收一些指针。但msdn没有说他指的是什么。实际上，这个指针指向 wow64 进程中的 64 PEB 进程。

所以代码可以是下一个:

#ifndef _WIN64
    PEB64* peb64;
    if (0 <= NtQueryInformationProcess(NtCurrentProcess(), 
        ProcessWow64Information, &peb64, sizeof(peb64), 0) && peb64)
    {
        // ...
    }
#endif

但是在 32 位进程中声明和使用 64 位结构非常不舒服(需要始终检查指针 < 0x100000000 )

另一种原始方式 - 执行执行任务的小型 64 位 shellcode。

代码大约执行以下操作:

#include <winternl.h>
#include <intrin.h>

void ZeroCmdLine()
{
    PUNICODE_STRING CommandLine = 
        &NtCurrentTeb()->ProcessEnvironmentBlock->ProcessParameters->CommandLine;
    if (USHORT Length = CommandLine->Length)
    {
        //*CommandLine->Buffer = 0;
        __stosw((PUSHORT)CommandLine->Buffer, 0, Length / sizeof(WCHAR));
    }
}

您需要使用下一个代码创建 asm 文件(如果项目中还没有)

.686

.MODEL FLAT

.code

@ZeroCmdLine@0 proc
    push ebp
    mov ebp,esp
    and esp,not 15
    push 33h
    call @@1
    ;++++++++ x64 +++++++++
    sub esp,20h
    call @@0
    add esp,20h
    retf
@@0:
    DQ 000003025048b4865h
    DQ 0408b4860408b4800h
    DQ 00de3677048b70f20h
    DQ 033e9d178788b4857h
    DQ 0ccccc35fab66f3c0h
    ;-------- x64 ---------
@@1:
    call fword ptr [esp]
    leave
    ret
@ZeroCmdLine@0 endp

end

DQ 中的代码来自此:

    mov rax,gs:30h
    mov rax,[rax+60h]
    mov rax,[rax+20h]
    movzx ecx,word ptr [rax+70h]
    jecxz @@2
    push rdi
    mov rdi,[rax+78h]
    shr ecx,1
    xor eax,eax
    rep stosw
    pop rdi
@@2:
    ret
    int3
    int3

自定义构建:ml/c/Cp $(InputFileName) -> $(InputName).obj

用c++声明

#ifdef __cplusplus
extern "C"
#endif
void FASTCALL ZeroCmdLine(void);

并调用它。

#ifndef _WIN64
    BOOL bWow;
    if (IsWow64Process(GetCurrentProcess(), &bWow) && bWow)
    {
        ZeroCmdLine();
    }
#endif