Це можна зробити, перезаписавши таблицю навколишнього середовища в межах визначеного процесу.
Як доказ концепції я написав цей зразок програми, який щойно відредагував одну (відому) змінну середовища в процесі cmd.exe:
typedef DWORD (__stdcall *NtQueryInformationProcessPtr)(HANDLE, DWORD, PVOID, ULONG, PULONG);
int __cdecl main(int argc, char* argv[])
{
HMODULE hNtDll = GetModuleHandleA("ntdll.dll");
NtQueryInformationProcessPtr NtQueryInformationProcess = (NtQueryInformationProcessPtr)GetProcAddress(hNtDll, "NtQueryInformationProcess");
int processId = atoi(argv[1]);
printf("Target PID: %u\n", processId);
// open the process with read+write access
HANDLE hProcess = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION | PROCESS_VM_READ | PROCESS_VM_WRITE | PROCESS_VM_OPERATION, 0, processId);
if(hProcess == NULL)
{
printf("Error opening process (%u)\n", GetLastError());
return 0;
}
// find the location of the PEB
PROCESS_BASIC_INFORMATION pbi = {0};
NTSTATUS status = NtQueryInformationProcess(hProcess, ProcessBasicInformation, &pbi, sizeof(pbi), NULL);
if(status != 0)
{
printf("Error ProcessBasicInformation (0x%8X)\n", status);
}
printf("PEB: %p\n", pbi.PebBaseAddress);
// find the process parameters
char *processParamsOffset = (char*)pbi.PebBaseAddress + 0x20; // hard coded offset for x64 apps
char *processParameters = NULL;
if(ReadProcessMemory(hProcess, processParamsOffset, &processParameters, sizeof(processParameters), NULL))
{
printf("UserProcessParameters: %p\n", processParameters);
}
else
{
printf("Error ReadProcessMemory (%u)\n", GetLastError());
}
// find the address to the environment table
char *environmentOffset = processParameters + 0x80; // hard coded offset for x64 apps
char *environment = NULL;
ReadProcessMemory(hProcess, environmentOffset, &environment, sizeof(environment), NULL);
printf("environment: %p\n", environment);
// copy the environment table into our own memory for scanning
wchar_t *localEnvBlock = new wchar_t[64*1024];
ReadProcessMemory(hProcess, environment, localEnvBlock, sizeof(wchar_t)*64*1024, NULL);
// find the variable to edit
wchar_t *found = NULL;
wchar_t *varOffset = localEnvBlock;
while(varOffset < localEnvBlock + 64*1024)
{
if(varOffset[0] == '\0')
{
// we reached the end
break;
}
if(wcsncmp(varOffset, L"ENVTEST=", 8) == 0)
{
found = varOffset;
break;
}
varOffset += wcslen(varOffset)+1;
}
// check to see if we found one
if(found)
{
size_t offset = (found - localEnvBlock) * sizeof(wchar_t);
printf("Offset: %Iu\n", offset);
// write a new version (if the size of the value changes then we have to rewrite the entire block)
if(!WriteProcessMemory(hProcess, environment + offset, L"ENVTEST=def", 12*sizeof(wchar_t), NULL))
{
printf("Error WriteProcessMemory (%u)\n", GetLastError());
}
}
// cleanup
delete[] localEnvBlock;
CloseHandle(hProcess);
return 0;
}
Вибірка зразка:
>set ENVTEST=abc
>cppTest.exe 13796
Target PID: 13796
PEB: 000007FFFFFD3000
UserProcessParameters: 00000000004B2F30
environment: 000000000052E700
Offset: 1528
>set ENVTEST
ENVTEST=def
Примітки
Цей підхід також обмежуватиметься обмеженнями безпеки. Якщо ціль виконується на більш високій висоті або на більш високому рахунку (наприклад, SYSTEM), ми б не мали дозволу редагувати її пам'ять.
Якби ви хотіли це зробити для 32-розрядного додатка, жорсткі закодовані зсуви вищезгадані зміниться на 0x10 та 0x48 відповідно. Ці компенсації можна знайти, вивантаживши структури налагодження _PEB та _RTL_USER_PROCESS_PARAMETERS (наприклад, у WinDbg dt _PEBта dt _RTL_USER_PROCESS_PARAMETERS)
Щоб змінити доказову концепцію на те, що потрібно ОП, було б просто перерахувати поточну змінну системи та середовища користувача (наприклад, задокументовану відповіддю @ tsadok) і записати всю таблицю середовища в пам'ять цільового процесу.
Редагувати: розмір блоку середовища також зберігається в структурі _RTL_USER_PROCESS_PARAMETERS, але пам'ять виділяється на купі процесу. Тож із зовнішнього процесу ми не мали б можливості змінити його розмір та збільшити його. Я розібрався з використанням VirtualAllocEx для виділення додаткової пам’яті в цільовому процесі для зберігання середовища, і зміг встановити та прочитати абсолютно нову таблицю. На жаль, будь-яка спроба змінити середовище з звичайних засобів зазнає краху і спалить, оскільки адреса більше не вказує на купу (вона вийде з ладу в RtlSizeHeap).