获取进程基址小技巧（傀儡进程）

最新推荐文章于 2024-02-27 11:18:22 发布

原创最新推荐文章于 2024-02-27 11:18:22 发布 · 2.1k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#获取进程基址 #傀儡进程 #Process Hollow

心情杂货铺专栏收录该内容

47 篇文章

订阅专栏

本文介绍了一种在创建傀儡进程时，通过GetThreadContext函数直接获取PEB地址的方法，避免了使用未导出NT函数NtQueryInformationProcess的复杂过程。通过解析线程上下文的Ebx寄存器，结合PEB结构的特定偏移，可以快速定位并读取目标进程的加载基址。

创建傀儡进程时，一般需要以挂起模式创建进程，然后调用未导出NT函数NtQueryInformationProcess来获取目标进程的PEB地址，拿到PEB地址后，再通过ReadProcessMemory获取目标进程的PEB数据，最后NtUnMapViewOfSection，传入PEB结构中的ImageBaseAddress来卸载目标进程的内存。

其实可以直接通过GetThreadContext这个函数来直接获取PEB地址，获取的CONTEXT.Ebx寄存器中保存的就是PEB地址。

typedef struct __PEB {
    BYTE InheritedAddressSpace;
    BYTE ReadImageFileExecOptions;
    BYTE BeingDebugged;
    BYTE SpareBool;
    void* Mutant;
    void* ImageBaseAddress;  // offset 0x08
    _PEB_LDR_DATA* Ldr;
    /*....*/
}MYPEB, *PMYPEB;

得知PEB结构偏移0x8的位置就是进程加载基址，在获取线程上下文后，直接用ebx的内容+8，再通过ReadProcessMemory读取4个字节，就可以得到被挂起进程的基址了。

测试代码:

   // 获取线程上下文
    CONTEXT ctx = { 0 };
    ctx.ContextFlags = CONTEXT_ALL;
    if (!GetThreadContext(pi.hThread, &ctx))
    {
        printf("GetThreadContext failed (%d).\n", GetLastError());
    }

    // 拿到目标进程主线程上下文后，在Ebx寄存器中保存的就是PEB的地址，
    // 而PEB结构偏移0x8的位置是AddressOfImageBase字段，
    // 所以直接来读取ctx.Ebx+0x8，就可以获取到目标进程的加载基址
    DWORD dwImageBase =  0;
    DWORD lpNumberOfBytesRead = 0;
    if (!ReadProcessMemory(pi.hProcess, (LPCVOID)(ctx.Ebx + 0x8), &dwImageBase, sizeof(DWORD), &lpNumberOfBytesRead))
    {
        printf("ReadProcessMemory failed (%d).\n", GetLastError());
        return;
    }

在这里插入图片描述