请问:我用NtWriteVirtualMemory写内存为何总是失败?(RING 3) 谢谢!

2010-05-03 02:55:40 1.2k 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

Rust实现Windows进程隐藏技术：Process Ghosting与Herpaderping详解进程隐藏是系统安全与攻防对抗中的核心技术，它通过操纵操作系统底层的进程创建、内存管理和文件系统机制，使特定进程对监控工具“不可见”。其原理通常涉及利用操作系统内核对象状态转换的时间窗口或逻辑间隙，例如在进程创建流程中拦截并篡改其内存镜像，或利用文件系统延迟删除特性。这项技术的核心价值在于提升安全测试、威胁模拟和系统研究等场景中工具的隐蔽性与生存能力，尤其适用于红队演练、EDR绕过和Windows内部机制研究等高级应用。本文聚焦Process Ghosting与Herpaderping这两种前沿的进程隐藏技术阅读详情

typedef
NTSTATUS
(NTAPI*pfnNtWriteVirtualMemory)(
HANDLE ProcessHandle,
PVOID BaseAddress,
PVOID Buffer,
ULONG BufferLength,
PULONG ReturnLength OPTIONAL
);

pfnNtWriteVirtualMemory NtWriteVirtualMemory = (pfnNtWriteVirtualMemory)GetProcAddress(GetModuleHandle ( "ntdll.dll" ),"NtWriteVirtualMemory");

int main()
{
UpTokenPrivileges(); //提权

NTSTATUS status;

HANDLE w_hopen = OpenProcess(PROCESS_ALL_ACCESS,0,632);

DWORD temp=0x74;

status = NtWriteVirtualMemory(w_hopen,(LPVOID)0x6F2A0930,&temp,1,NULL);

if(!NT_SUCCESS(status))
MessageBox(NULL,"0","0",MB_OK);

return 0;
}

NtWriteVirtualMemory函数的地址已获取到.难道是我参数的问题吗? 总是失败,郁闷死了.

请各位指点一下,我这是第一次这样用.我这是在ring3下调用的

...全文

深入解析sRDI：将DLL转换为Shellcode的内存规避技术在Windows安全领域，动态链接库（DLL）是常见的功能模块载体，但其传统加载方式（如LoadLibrary）会留下明显的文件与行为痕迹，易被安全软件检测。为了规避检测，安全研究人员发展出了反射式DLL注入等技术，其核心原理在于将DLL文件在内存中动态解析、重定位并执行，无需依赖系统加载器，从而实现无文件攻击。这项技术的核心价值在于显著提升了攻击的隐蔽性，广泛应用于红队渗透、恶意软件及高级持续性威胁（APT）攻击中，用于在目标进程内存中悄无声息地部署功能。作为该技术的优秀实现，sRDI（Shellcode 阅读详情

ztxnet

进程/线程/DLL 15,466 成员 49,169 内容

+ 关注 + 加入社区

切换为时间正序

fewf333 2010-11-16

打赏
举报

一看就是war3的哈

fly4free 2010-05-08

打赏
举报

兔子大赠的是内核态代码？

mszjk 2010-05-04

打赏
举报

WriteProcessMemory不需要VirtualProtect么?

jingzhongrong 2010-05-04

打赏
举报

[Quote=引用 5 楼 mszjk 的回复:]

WriteProcessMemory不需要VirtualProtect么?
[/Quote]

同问

sanguomi 2010-05-04

打赏
举报



  DWORD OldProtect;   

  ::VirtualProtect((LPVOID)0x6F2A0930, temp, PAGE_READWRITE, &OldProtect);   

  ::WriteProcessMemory(w_hopen, (LPVOID)0x6F2A0930, &temp, 1, NULL);

  ::VirtualProtect((LPVOID)0x6F2A0930, temp, OldProtect, 0);

ztxnet 2010-05-03

打赏
举报

[Quote=引用 2 楼 tr0j4n 的回复:]
保护都没关，你能写才怪。

ZwOpenProcess->ZwProtectVirtualMemory->ZwWriteVirtualMemory
[/Quote]

非常感谢您的指点

我以为跟WriteProcessMemory一样,不需要解除保护一样可写...我是第一次用native函数,所以完全是门外汉,谢谢指点,代码我会仔细研究的

MoXiaoRab 2010-05-03

打赏
举报

礼品附赠



NTSTATUS

MyWriteMemory(IN HANDLE hProcess,OUT PVOID BaseAddress,IN PVOID Pbuff,IN ULONG BufferSize)

{

PEPROCESS EProcess; 

KAPC_STATE ApcState;

PVOID writebuffer=NULL;

NTSTATUS status;



status = ObReferenceObjectByHandle(

                  hProcess,

                  PROCESS_VM_WRITE|PROCESS_VM_READ,

                  NULL,

                  KernelMode,

                  &EProcess,

                  NULL

                  );

                  

if(!NT_SUCCESS(status))

{

ObDereferenceObject(EProcess);

return STATUS_UNSUCCESSFUL;

}

writebuffer = ExAllocatePoolWithTag (NonPagedPool, BufferSize, 'Sys');



if(writebuffer==NULL)

{

ObDereferenceObject(EProcess);

ExFreePool (writebuffer);

return STATUS_UNSUCCESSFUL;

}

*(ULONG*)writebuffer=(ULONG)0x1;



if (MmIsAddressValid(Pbuff))

{

__try

{

ProbeForRead ((CONST PVOID)Pbuff, BufferSize, sizeof(CHAR));

RtlCopyMemory (writebuffer, Pbuff, BufferSize);

}

__except(EXCEPTION_EXECUTE_HANDLER)

{

status = STATUS_UNSUCCESSFUL;

}

}

else

{

status = STATUS_UNSUCCESSFUL;

}



if (NT_SUCCESS(status))

{

KeStackAttachProcess (EProcess, &ApcState);

if (MmIsAddressValid(BaseAddress))

{

__try

{

ProbeForWrite ((CONST PVOID)BaseAddress, BufferSize, sizeof(CHAR));

RtlCopyMemory (BaseAddress,writebuffer, BufferSize);

}

__except(EXCEPTION_EXECUTE_HANDLER)

{

status = STATUS_UNSUCCESSFUL;

}

}

else

{

status = STATUS_UNSUCCESSFUL;

}

KeUnstackDetachProcess (&ApcState);

}



ObDereferenceObject(EProcess);

ExFreePool (writebuffer);

return status;

}

MoXiaoRab 2010-05-03

打赏
举报

保护都没关，你能写才怪。

ZwOpenProcess->ZwProtectVirtualMemory->ZwWriteVirtualMemory

jingzhongrong 2010-05-03

打赏
举报

用NtOpenProcess打开进程。

请问:我用NtWriteVirtualMemory写内存为何总是失败?(RING 3) 谢谢!

相关推荐