通过EPROCESS枚举进程

来源：互联网发布：cs在编程语言中的意思编辑：程序博客网时间：2024/04/28 16:57

http://bbs.pediy.com/showthread.php?p=583402

网上的一段代码通过内存搜索EPROCESS来枚举进程
在我的xp sp2系统上测试只能枚举出三个进程这是为什么？

关键代码如下：

代码:

VOID searchprocess(void)
{
    ULONG    i;
    ULONG    result;
    
    for (i = 0x80000000 ;i<0x90000000;i+=4){
        result = validpage(i);
        if (result == VALID){
            if (*(PULONG)i == 0x7ffdf000){
                if(IsARealProcess(i)){
                    DbgPrint("EPROCESS: 0x%x  ",i-PEB_OFFSET);
                    getname(i);
                }
            }
        }
        else if(result == PTE_INVALID){
            i -=4;
            i += 0x1000;//4k
        }
        else{
            i-=4;
            i+= 0x400000;//4mb
        }
        
    }

    for (i = 0xf0000000 ;i<0xffbe0000;i+=4){
        result = validpage(i);
        if (result == VALID){
            if (*(PULONG)i == 0x7ffdf000){
                if(IsARealProcess(i)){
                    DbgPrint("EPROCESS: 0x%x  ",i-PEB_OFFSET);
                    getname(i);
                }
            }
        }
        else if(result == PTE_INVALID){
            i -=4;
            i += 0x1000;//4k
        }
        else{
            i-=4;
            i+= 0x400000;//4mb
        }        
    }

    DbgPrint("searching finish /n");
}
//--------------------------------------------------------------------
VOID getname(ULONG Addr)
{
    DbgPrint("process name: %s/n",(PCHAR)(Addr-PEB_OFFSET+EPROCESS_NAME_OFFSET));
}
//--------------------------------------------------------------------
ULONG validpage(ULONG Addr)
{
    ULONG    pte;
    ULONG    pde;
    
    pde = 0xc0300000 + (Addr>>22)*4;
    if((*(PULONG)pde & 0x1) != 0){
        //lArge pAge
        if((*(PULONG)pde & 0x80) != 0){
            return VALID;
        }
        pte = 0xc0000000 + (Addr>>12)*4;
        if((*(PULONG)pte & 0x1) != 0){
            return VALID;
        }
        else{
            return PTE_INVALID;
        }
    }
    return PDE_INVALID;
}
//--------------------------------------------------------------------
BOOLEAN IsARealProcess(ULONG i)
{
    NTSTATUS            status;
    PUNICODE_STRING        pUnicode;
    UNICODE_STRING        Process;
    ULONG                pObjectType;
    ULONG                pObjectTypeProcess;
    
    
    pObjectTypeProcess = *(PULONG)((ULONG)PsGetCurrentProcess() -OBJECT_HEADER_SIZE +OBJECT_TYPE_OFFSET);
    if (validpage(i-PEB_OFFSET) != VALID){
        return FALSE;
    }
    
    if (validpage(i-PEB_OFFSET - OBJECT_HEADER_SIZE + OBJECT_TYPE_OFFSET) == VALID){
        pObjectType = *(PULONG)(i-PEB_OFFSET - OBJECT_HEADER_SIZE + OBJECT_TYPE_OFFSET);
    }
    else{
        return FALSE;
    }
    
    if(pObjectTypeProcess == pObjectType){        
        return TRUE;
    }
    return FALSE;
    
}

*(PULONG)i == 0x7ffdf000

以上代码判断一个进程的关键是在这里，即只有当进程的PEB结构指针是0x7ffdf000你才能找到它。



但是在XP SP2系统下，进程PEB结构位置是不定的，并不固定为0x7ffdf000。



你可以自己在windbg里试一试看看系统当前所有进程的PEB就会发现这个问题了。

如在我的XP SP3下，我刚刚试了一下：



lkd> !process 0 0

**** NT ACTIVE PROCESS DUMP ****

PROCESS 855b6830  SessionId: none  Cid: 0004    Peb: 00000000  ParentCid: 0000

    DirBase: 05990020  ObjectTable: e1003df8  HandleCount: 437.

    Image: System



PROCESS 84c4d020  SessionId: none  Cid: 046c    Peb: 7ffde000  ParentCid: 0004

    DirBase: 05990040  ObjectTable: e100dc10  HandleCount:  19.

    Image: smss.exe



PROCESS 84bfb020  SessionId: 0  Cid: 04b0    Peb: 7ffd8000  ParentCid: 046c

    DirBase: 05990060  ObjectTable: e188da08  HandleCount: 702.

    Image: csrss.exe



PROCESS 84bf2a90  SessionId: 0  Cid: 04cc    Peb: 7ffde000  ParentCid: 046c

    DirBase: 05990080  ObjectTable: e188f170  HandleCount: 526.

    Image: winlogon.exe



PROCESS 84b2bc10  SessionId: 0  Cid: 04f8    Peb: 7ffd4000  ParentCid: 04cc

    DirBase: 059900a0  ObjectTable: e1d60518  HandleCount: 310.

    Image: SERVICES.EXE



PROCESS 84b363c0  SessionId: 0  Cid: 0504    Peb: 7ffdd000  ParentCid: 04cc

    DirBase: 059900c0  ObjectTable: e223c248  HandleCount: 477.

    Image: LSASS.EXE



PROCESS 84b5eda0  SessionId: 0  Cid: 05c0    Peb: 7ffda000  ParentCid: 04f8

    DirBase: 059900e0  ObjectTable: e236af00  HandleCount:  99.

    Image: Ati2evxx.exe



PROCESS 84b59b28  SessionId: 0  Cid: 05e0    Peb: 7ffd7000  ParentCid: 04f8

    DirBase: 05990100  ObjectTable: e23686c8  HandleCount: 196.

    Image: SVCHOST.EXE



PROCESS 846313b0  SessionId: 0  Cid: 063c    Peb: 7ffd5000  ParentCid: 04f8

    DirBase: 05990140  ObjectTable: e19a3c08  HandleCount: 317.

    Image: SVCHOST.EXE

（以下省略类似的条目）



你可以看到它们的PEB并不都是0x7ffdf000，这也就解释了你只能搜到一部分进程结构。



好像哪本书上说的XP SP2开始PEB结构位置才是不定的，在此之前好像就是固定为0x7ffdf000的，不知道我有没有记错。


xfocus的一篇文章《Windows XP Sp2溢出保护》中就提到了PEB的地址的随机，详见http://www.xfocus.net/articles/200412/762.html


这里还有一个问题

我把程序修改了一下 如下

代码:

VOID searchprocess(void)
{
    ULONG    i;
    ULONG    res;
    
    for (i = 0x80000000; i < 0x90000000; i += 4)
  {
        res = validpage(i);
        if (res == VALID)
    {
      DbgPrint("%x : %x/n", i, *(PULONG)i);
            //if (*(PULONG)i == 0x7ffdf000)
      if (*(PUCHAR)(i+0) == 0x00 &&
        *(PUCHAR)(i+2) == 0xfd &&
        *(PUCHAR)(i+3) == 0x7f &&
        (*(PUCHAR)(i+1) & 0x0f) == 0)
      {
                if(IsARealProcess(i))
        {
                    DbgPrint("EPROCESS: 0x%x  ",i-PEB_OFFSET);
                    getname(i);
                }
            }
        }
        else if(res == PTE_INVALID)
    {
      DbgPrint("%x  pte_invalid./n", i);
            i -= 4;
            i += 0x1000;//4k
        }
        else
    {
      DbgPrint("%x pde_invalid./n", i);
            i -= 4;
            i += 0x400000;//4mb
        }
        
    }

    for (i = 0xf0000000; i < 0xffbe0000; i += 4)
  {
        res = validpage(i);
        if (res == VALID)
    {
            //if (*(PULONG)i == 0x7ffdf000)
      if (*(PUCHAR)(i+0) == 0x00 &&
        *(PUCHAR)(i+2) == 0xfd &&
        *(PUCHAR)(i+3) == 0x7f &&
        (*(PUCHAR)(i+1) & 0x0f) == 0)
      {
                if(IsARealProcess(i))
        {
                    DbgPrint("EPROCESS: 0x%x  ",i-PEB_OFFSET);
                    getname(i);
                }
            }
        }
        else if(res == PTE_INVALID)
    {
            i -= 4;
            i += 0x1000;//4k
        }
        else
    {
            i -= 4;
            i += 0x400000;//4mb
        }        
    }

    DbgPrint("searching finish /n");



windows xp sp2   的页目录是0xc0600000   而且是PAE(物理地址扩展)模式  计算方法有些不同的  2000的     具体请反汇编xp sp2 的涵数MmIsAddressValid()  就比较清楚


}

在xp sp2的虚拟机中成功的搜索出系统里的进程
可是在我的主机上却没有成功
从80000000到90000000全部显示pde_invalid
这是怎么回事？