C++源码 NtQueryVirtualMemory枚举进程模块

ldnhhy

C++源码 NtQueryVirtualMemory枚举进程模块

1. typedef enum _MEMORY_INFORMATION_CLASS
   
2. {
   
3.     MemoryBasicInformation,
   
4.     MemoryWorkingSetList,
   
5.     MemorySectionName
   
6. }MEMORY_INFORMATION_CLASS;
   
7. 
   
8. typedef struct
   
9. {
   
10.     UNICODE_STRING SectionFileName;
    
11.     WCHAR       NameBuffer[MAX_PATH * 5];
    
12. } MEMORY_SECTION_NAME, *PMEMORY_SECTION_NAME;
    
13. 
    
14. typedef struct _MEMORY_BASIC_INFORMATION {
    
15.     PVOID BaseAddress;
    
16.     PVOID AllocationBase;
    
17.     DWORD AllocationProtect;
    
18.     SIZE_T RegionSize;
    
19.     DWORD State;
    
20.     DWORD Protect;
    
21.     DWORD Type;
    
22. } MEMORY_BASIC_INFORMATION, *PMEMORY_BASIC_INFORMATION;
    
23. 
    
24. 
    
25. typedef
    
26. NTSTATUS
    
27. (__stdcall * PNtQueryVirtualMemory)(
    
28.                                 IN HANDLE ProcessHandle,
    
29.                                 IN PVOID BaseAddress,
    
30.                                 IN MEMORY_INFORMATION_CLASS MemoryInformationClass,
    
31.                                 OUT PVOID MemoryInformation,
    
32.                                 IN ULONG MemoryInformationLength,
    
33.                                 OUT PULONG ReturnLength OPTIONAL
    
34.                                 );
    
35. 
    
36. typedef struct  
    
37. {
    
38.     KEVENT kEvent;
    
39.     HANDLE  ProcessId;
    
40.     BOOLEAN isFind;
    
41. }WORK_DATA, *PWORK_DATA;
    
42. 
    
43. 
    
44. #define MEM_IMAGE 0x1000000
    
45. NTSTATUS EnumDllByZwQueryVirtualMem(PVOID pData)
    
46. {
    
47.     PWORK_DATA p = (PWORK_DATA)pData;
    
48.     NTSTATUS status=0;
    
49.     MEMORY_BASIC_INFORMATION mem_info = {0};
    
50.     MEMORY_SECTION_NAME mem_secName = {0};
    
51. 
    
52.     HANDLE hProcess = NULL;
    
53.     OBJECT_ATTRIBUTES obj;
    
54.     CLIENT_ID cid;
    
55.     PEPROCESS  pEproc;
    
56. 
    
57.     int      retLen;
    
58.     ULONG    index=0;
    
59.     PRKAPC_STATE pApcStatus;
    
60.     UNICODE_STRING ustrNTDLL;
    
61. 
    
62.     RtlInitUnicodeString(&ustrNTDLL, L"\\??\\C:\\WINDOWS\\system32\\ntdll.dll");
    
63. 
    
64.     PNtQueryVirtualMemory NtQueryVirtualMemory = NULL;
    
65.     PSYSTEM_DESCRIPTOR_TABLE KeServiceDescriptorTable = (PSYSTEM_DESCRIPTOR_TABLE)dns_get_systemrountine_address(L"KeServiceDescriptorTable");
    
66.     ULONG uIndex = SYSCALL_INDEX(dns_get_dllfunction_address("NtQueryVirtualMemory", &ustrNTDLL));
    
67. 
    
68.     NtQueryVirtualMemory = (PNtQueryVirtualMemory)KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[uIndex];
    
69.     cid.UniqueProcess = (HANDLE)p->ProcessId;
    
70.     cid.UniqueThread = NULL;
    
71.     InitializeObjectAttributes(&obj, NULL, 0, NULL, NULL);
    
72. 
    
73.     status = PsLookupProcessByProcessId( (HANDLE)p->ProcessId, &pEproc);
    
74.     if ( !NT_SUCCESS(status) )
    
75.     {
    
76.         KdPrint(("cannot get process eprocess, ERROR CODE = %08X\n", status));
    
77.         status = STATUS_UNSUCCESSFUL;
    
78.         return status;
    
79.     }
    
80. 
    
81. //     pApcStatus = (PRKAPC_STATE)ExAllocatePoolWithTag(NonPagedPool, sizeof(KAPC_STATE), 'pApc');
    
82. //     if (pApcStatus)
    
83. //     {
    
84. //         KeStackAttachProcess(pEproc, pApcStatus);
    
85. //         KdPrint(("已切换到目标进程上下文\n"));
    
86. //     }
    
87.     KAPC_STATE k_apc;
    
88.     KeStackAttachProcess(pEproc, &k_apc);
    
89. 
    
90.     //获取进程句柄
    
91.     status = ZwOpenProcess(&hProcess, PAGE_READWRITE, &obj, &cid);
    
92.     if ( !NT_SUCCESS(status) )
    
93.     {
    
94.         KdPrint(("cannot get process handle, ERROR CODE = %08X\n", status));
    
95.         status = STATUS_UNSUCCESSFUL;
    
96.         return status;
    
97.     }
    
98.     KdPrint(("hProcess= %X\n", hProcess));
    
99. 
    
100.     do
     
101.     {
     
102.         //查询内存 ;这里为何返回状态为访问违法呢？？？
     
103.         status=NtQueryVirtualMemory( hProcess,
     
104.             (PULONG)index,
     
105.             MemoryBasicInformation,
     
106.             &mem_info,
     
107.             sizeof(mem_info),
     
108.             NULL );
     
109.         if ( !NT_SUCCESS(status) )
     
110.         {
     
111.             DbgPrint("cannot query memory, ERROR CODE = %08X\n", status);
     
112.             status = STATUS_SUCCESS;
     
113.             p->isFind = FALSE;
     
114.             break;
     
115.         }
     
116. 
     
117.         if ( status >= 0 )
     
118.         {
     
119.             //KdPrint(("ZwQueryVirtualMemory 成功!\n"));
     
120. 
     
121.             //判断"内存节.类型"是否是 "映像/模块"类型
     
122.             if (mem_info.Type == MEM_IMAGE)
     
123.             {
     
124.                 //判断模块所占内存范围
     
125.                 if ( (DWORD)mem_info.AllocationBase == index )
     
126.                 {
     
127.                     //查询内存节名
     
128.                     status=NtQueryVirtualMemory( hProcess,
     
129.                         (PULONG)index,
     
130.                         MemorySectionName,
     
131.                         &mem_secName,
     
132.                         sizeof(mem_secName),
     
133.                         NULL );
     
134.                     if ( status >= 0 )
     
135.                     {
     
136.                         UNICODE_STRING ustrMyDll;
     
137.                         RtlInitUnicodeString(&ustrMyDll, L"Locker.dll");
     
138.                         KdPrint(("Address:%08X \t ModuleName:%ws\n", index, mem_secName.SectionFileName.Buffer));
     
139.                         if ( TRUE == SpyFindSubString(&mem_secName.SectionFileName, &ustrMyDll) )
     
140.                         {
     
141.                             p->isFind = TRUE;
     
142.                             break;
     
143.                         }
     
144.                     }
     
145.                 }
     
146.             }
     
147.         }
     
148. 
     
149.         index += 0x10000;
     
150.     } while (index < 0x80000000);
     
151. _done:
     
152.     KeUnstackDetachProcess(&k_apc);
     
153.     if (hProcess)
     
154.         ZwClose(hProcess);
     
155.     status = STATUS_SUCCESS;
     
156.     return status;
     
157. }

复制代码