CreateProcess à partir de la mémoire tampon
Je peux utiliser la fonction CreateProcess de lancer un EXE. Je veux avoir le contenu d'un fichier EXE dans un tampon en mémoire et ne CreateProcess (ou équivalent) sans avoir à l'écrire dans un fichier. Est-il possible de faire cela?
Le résumé des épisodes précédents : nous faire des jeux. Nous envoyer un simple EXE à nos distributeurs, qui ensuite l'enrouler à l'aide de leur favori DRM et de le vendre à leurs utilisateurs. Il y a eu des cas où les utilisateurs à trouver les accidents. La plupart des accidents de prendre 5 minutes pour le résoudre, mais le patch doit passer par le distributeur et il peut prendre plusieurs jours, voire plusieurs semaines. Je ne peux pas tout simplement envoyer le corrigé EXE pour les joueurs car il n'aurait pas le distributeur de DRM. Je pense que je vais distribuer le jeu réel EXE à l'intérieur d'un fichier crypté alors, quelle est enveloppé (l'EXE) juste déchiffre et lance le vrai EXE. De cette façon, je pouvais en toute sécurité distribuer un correctif sans désactiver les DRM.
Vous devez vous connecter pour publier un commentaire.
Il est en fait assez facile. Technique similaire a été décrite dans un document que j'ai lu comme il y a 3 ans.
Fenêtres vous permettent d'appeler la CreateProcess fonction avec CREATE_SUSPENDED drapeau, qui indique à l'API pour que le processus soit suspendu jusqu'à ce que le ResumeThread fonction est appelée.
Cela nous donne du temps pour saisir la suspension contexte du thread à l'aide de GetThreadContext fonction, alors le registre EBX tiendra un pointeur vers le PBE(Processus de l'Environnement de Bloc) structure, dont nous avons besoin pour déterminer l'adresse de base.
De la mise en page de la PBE structure, nous pouvons voir que la ImageBaseAddress est stocké à la 8ème octet, donc [EBX+8] nous donnera réelle de l'adresse de base de la suspension du processus.
Maintenant nous avons besoin de la mémoire d'EXE et de faire le cas de l'alignement si l'alignement de la mémoire et de la mémoire EXE diffère.
Si l'adresse de base de la suspension du processus et de la mémoire exe correspond, de plus, si l'-image de la mémoire exe est inférieur ou égal à la suspension du processus' nous pouvons simplement utiliser WriteProcessMemory à écrire en mémoire exe dans l'espace mémoire du processus interrompu.
Mais si les conditions ci-dessus ne sont pas remplies, nous avons besoin d'un peu plus de magie.
Tout d'abord, nous devons nous détacher de l'image d'origine à l'aide de ZwUnmapViewOfSection, et puis allouer suffisamment de mémoire à l'aide de VirtualAllocEx dans l'espace mémoire du processus interrompu. Maintenant, nous avons besoin d'écrire en mémoire exe dans l'espace mémoire du processus interrompu à l'aide de la WriteProcessMemory fonction.
Prochain, le patch, le BaseAddress de la mémoire de fichier exe dans le PEB->ImageBaseAddress de la suspension de la procédure.
Registre EAX du contexte de thread détient point d'entrée de l'adresse, dont nous avons besoin pour réécrire avec le point d'entrée d'adresse de la mémoire exe. Maintenant nous avons besoin d'enregistrer la modification du contexte de thread à l'aide de la SetThreadContext fonction.
Le tour est joué! Nous sommes prêt à appeler la ResumeThread fonction sur le processus interrompu pour l'exécuter!
Vous pouvez compiler le jeu comme une DLL et de mettre la DLL dans les données chiffrées de fichier. Un fichier DLL peuvent être chargés à partir de la mémoire sans l'écriture sur le disque. Consultez ce tutoriel (avec des exemples de code à la fin): Le chargement d'une DLL à Partir de la Mémoire
Ce que tu veux faire nécessite NtCreateProcess, mais il est sans papiers et donc fragile. Ce livre apparemment couvre son utilisation.
Peut-être que vous pourriez construire un système de patch? E. g. au lancement, le programme vérifie pour le patch DLL dans le même répertoire, et la charge si elle existe.
Pourquoi avez-vous besoin pour créer un nouveau processus? J'aurais pensé que vous pouvez exécuter dans le contexte de processus qui ne le déballage/déchiffrement.
Ce que vous voulez peut être atteint par quelque chose appelé un "Packer". De lancer un exe à partir de la mémoire peut être possible, mais c'est beaucoup plus dur qu'un packer 😉
L'un des plus connus des packers est UPX (google). Il y a des outils pour le déchiffrer, mais elle devrait au moins vous donner un point de départ pour le travail froim. Je suis aussi assez, certains UPX est open-source.
Regarder BoxedAppSDK
Il prend en charge le lancement exe à partir d'un tampon de mémoire.
espère que cela aide.