搜索

[13243] 2018-09-29_R0Ak：Windows10内核模式代码读取、写入和执行测试工具

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-09-29_R0Ak：Windows10内核模式代码读取、写入和执行测试工具 R 0 A k ： W i n d o w s   1 0 内 核 模 式 代 码 读 取 、 写 入 和 执 行 测 试 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 9 - 2 9 对 于 研 究 人 员 来 说 ， 今 天 介 绍 的 这 款 工 具 就 相 当 于 他 们 的 对 于 研 究 人 员 来 说 ， 今 天 介 绍 的 这 款 工 具 就 相 当 于 他 们 的 “ 瑞 士 军 刀 瑞 士 军 刀 ” ， 因 为 这 款 名 叫 ， 因 为 这 款 名 叫 R 0 a k 的 命 令 行 工 具 可 以 帮 的 命 令 行 工 具 可 以 帮 助 研 究 人 员 在 助 研 究 人 员 在 W i n d o w s   1 0 操 作 系 统 上 读 取 、 写 入 和 执 行 任 意 代 码 ， 用 于 进 一 步 测 试 。 操 作 系 统 上 读 取 、 写 入 和 执 行 任 意 代 码 ， 用 于 进 一 步 测 试 。 r 0 a k r 0 a k 是 一 款 W i n d o w s 平 台 下 的 命 令 行 工 具 ， 它 可 以 帮 助 我 们 在 命 令 行 界 面 下 轻 松 读 取 、 写 入 和 执 行 内 核 模 式 代 码 ， 而 且 除 了 管 理 员 权 限 之 外 ， 不 需 要 其 他 额 外 的 东 西 。 快 速 使 用 快 速 使 用 r 0 a k v 1 . 0 . 0   —   R i n g   0   A r m y   K n i f e h t t p : / / w w w . g i t h u b . c o m / i o n e s c u 0 0 7 / r 0 a k C o p y r i g h t ( c )   2 0 1 8   A l e x   I o n e s c u   [ @ a i o n e s c u ] h t t p : / / w w w . w i n d o w s - i n t e r n a l s . c o m
基 础 架 构 ： 基 础 架 构 ： 支 持 的 命 令 支 持 的 命 令 在 使 用 — e x e c u t e 选 项 时 ， 这 个 功 能 和 参 数 由 用 户 提 供 。 在 使 用 — w r i t e 时 ， 需 要 使 用 一 个 自 定 义 小 公 举 来 修 改 内 核 内 存 中 任 意 位 置 的 3 2 字 节 值 。 在 使 用 — r e a d 时 ， 需 要 使 用 一 个 写 入 小 公 举 来 修 改 系 统 中 H S T I 缓 冲 区 指 针 和 大 小 。
接 下 来 ， 需 要 使 用 H S T I 查 询 A P I 来 将 数 据 重 新 拷 贝 至 工 具 的 用 户 模 式 地 址 空 间 内 。 工 具 使 用 工 具 使 用 由 于 工 具 需 要 使 用 到 W i n d o w s 符 号 引 擎 ， 所 以 我 们 需 要 安 装 W i n d o w s 软 件 开 发 套 件 （ S D K ） 或 W i n d o w s 驱 动 套 件 （ W D K ） ， 以 及 W i n d o w s 调 试 工 具 。 工 具 安 装 完 成 后 会 自 动 查 询 安 装 路 径 ， 并 使 用 目 录 中 的 D b g H e l p . d l l 和 S y m S r v . d l l ， 由 于 这 些 文 件 是 无 法 多 次 使 用 的 ， 因 此 工 具 中 无 法 内 置 这 些 文 件 。 或 者 说 ， 如 果 你 想 使 用 你 自 己 的 代 码 库 ， 你 也 可 以 修 改 工 具 的 源 代 码 。 在 使 用 符 号 时 ， 需 要 联 网 ， 除 非 你 在 本 地 预 先 缓 存 好 数 据 。 除 此 之 外 ， 你 还 需 要 设 置 _ N T _ S Y M B O L _ P A T H 变 量 ， 并 指 向 正 确 的 符 号 服 务 器 和 缓 存 地 址 。 工 具 限 制 工 具 限 制 本 工 具 需 要 使 用 正 确 的 W i n d o w s   1 0 内 核 变 量 以 及 函 数 功 能 ， 并 且 只 能 在 6 4 位 操 作 系 统 上 使 用 。 虽 然 在 x 8 6 架 构 的 操 作 系 统 上 没 有 这 些 限 制 ， 但 是 这 种 平 台 有 很 多 传 统 的 方 法 可 以 使 用 ， 因 此 这 款 工 具 主 要 针 对 的 是 6 4 位 的 的 W i n d o w s   1 0 。 限 制 条 件 ： 限 制 条 件 ： 1 .   读 取 ： 一 次 只 能 读 取 4 G B 数 据 ； 2 .   写 入 ： 一 次 只 能 写 入 3 2 位 长 度 的 数 据 ； 3 .   执 行 ： 函 数 的 执 行 只 能 接 收 1 个 标 量 参 数 ； 很 明 显 ， 我 们 可 以 利 用 其 它 的 编 程 手 段 或 方 法 来 绕 过 这 些 限 制 。 需 要 注 意 的 是 ， 所 有 的 命 令 执 行 （ 包 括 读 取 和 写 入 命 令 ） 都 需 要 在 一 个 系 统 W o r k e r 线 程 （ P A S S I V E _ L E V E L ） 环 境 下 运 行 ， 因 此 用 户 模 式 地 址 不 应 该 以 参 数 进 行 传 递 。 *   参 考 来 源 ： r 0 a k ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理