[笔记]Windows核心编程《番外篇》常用的NT API及使用示例

简介: [笔记]Windows核心编程《番外篇》常用的NT API及使用示例

前言

NTAPI:泛指ntdll.dll模块不对外提供的API接口,大多是提供给内核层开发人员使用的。

一般通过动态载入库的方式(LoadLibrary + GetProcAddress)调用

注意:本文主要使用phlib库作为调用NTAPI的库

NtQueryInformationProcess函数

NtQueryInformationProcess

NtQueryInformationProcess用法

函数原型

作用:

通过ProcessInformationClass参数可以查找进程的不同信息,包括PEB信息、WOW64信息、子系统信息、imageFileName映像文件名信息等。

NTSYSCALLAPI
NTSTATUS
NTAPI
NtQueryInformationProcess(
    _In_ HANDLE ProcessHandle,
    _In_ PROCESSINFOCLASS ProcessInformationClass,
    _Out_writes_bytes_(ProcessInformationLength) PVOID ProcessInformation,
    _In_ ULONG ProcessInformationLength,
    _Out_opt_ PULONG ReturnLength
    );

ProcessHandle:进程句柄

ProcessInformationClass:需要检索的进程信息类型,具体参数类型,见本节结尾“进程信息类型表”。

如果第二个参数是ProcessBasicInformation的话,则第三个参数必须为一个指针指向结构PROCESS_BASIC_INFORMATION:

ProcessInformation: 缓冲指针,保存进程信息,大小取决于进程信息类型。

ProcessInformationLength:以字节为单位的缓冲大小

ReturnLength:实际写入到缓冲的字节数

返回值

返回一个NTSTATUS成功或错误代码

附录

进程信息类型表

含义
ProcessBasicInformation 0 返回PEB结构指针,检索判断特定进程是否正在被调试
ProcessDebugPort 7 返回DWORD指针,检索获得当前进程的调试端口号
ProcessWow64Information 26 判断进程是否运行在WOW64环境(WOW64指基于Win32的程序运行在x64系统上)
ProcessImageFileName 27 返回Unicode字符串,包含进程的映像文件名
ProcessBreakOnTermination 29 返回ULONG值, 判断是否这个进程被认为是重要进程的。(一般系统级别的exe都是重要进程)
ProcessSubsystemInformation 75 返回SUBSYSTEM_INFORMATION_TYPE,指出进程的子系统类型。

当ProcessInformationClass为ProcessBasicInformation时:

缓冲区指针 应该指向 _PROCESS_BASIC_INFORMATION

typedef struct
{   
    DWORD ExitStatus; // 接收进程终止状态
      DWORD PebBaseAddress; // 接收PEB进程环境块地址
      DWORD AffinityMask; // 接收进程关联掩码
      DWORD BasePriority; // 接收进程的优先级类
      ULONG UniqueProcessId; // 接收进程ID
      ULONG InheritedFromUniqueProcessId; //接收父进程ID
} PROCESS_BASIC_INFORMATION;

示例:从PEB32获得进程路径

代码参考:

CSDN博主「MailSloter」的原创文章

/**
*
* 获得PEB的进程路径
*
*/
#include <phnt_windows.h>
#include <phnt.h>
#include <iostream>
#include <stdio.h>
#include <stdlib.h>
BOOL GetProcessFullPathByProcessID(ULONG32 ProcessID, WCHAR* BufferData, ULONG BufferLegnth) {
  HANDLE  ProcessHandle = NULL; 
  ProcessHandle = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_VM_READ, FALSE, ProcessID);
  if (ProcessHandle == NULL) {
    return FALSE;
  }
  PROCESS_BASIC_INFORMATION pbi = { 0 };
  SIZE_T  ReturnLength = 0;
  NTSTATUS status = NtQueryInformationProcess(ProcessHandle, ProcessBasicInformation, &pbi, sizeof(PROCESS_BASIC_INFORMATION),
    (PULONG)&ReturnLength);
  if (!NT_SUCCESS(status)) {
    CloseHandle(ProcessHandle);
    ProcessHandle = NULL;
    return FALSE;
  }
  PEB Peb = { 0 };
  status = NtReadVirtualMemory(ProcessHandle, pbi.PebBaseAddress, &Peb, sizeof(PEB32), (SIZE_T*)&ReturnLength);
  if (!NT_SUCCESS(status)) {
    CloseHandle(ProcessHandle);
    ProcessHandle = NULL;
    return FALSE;
  }
  RTL_USER_PROCESS_PARAMETERS RtlUserProcessParameters = { 0 };
  status = NtReadVirtualMemory(ProcessHandle, Peb.ProcessParameters, &RtlUserProcessParameters,
    sizeof(RTL_USER_PROCESS_PARAMETERS), (SIZE_T*)&ReturnLength);
  if (!NT_SUCCESS(status)) {
    CloseHandle(ProcessHandle);
    ProcessHandle = NULL;
    return FALSE;
  }
  if (RtlUserProcessParameters.ImagePathName.Buffer != NULL)
  {
    ULONG v1 = 0;
    if (RtlUserProcessParameters.ImagePathName.Length < BufferLegnth)
    {
      v1 = RtlUserProcessParameters.ImagePathName.Length;
    }
    else
    {
      v1 = BufferLegnth - 10;
    }
    status = ReadProcessMemory(ProcessHandle, RtlUserProcessParameters.ImagePathName.Buffer,
      BufferData, v1, (SIZE_T*)&ReturnLength);
    if (!NT_SUCCESS(status)) 
    {
      CloseHandle(ProcessHandle);
      ProcessHandle = NULL;
      return FALSE;
    }
  }
  CloseHandle(ProcessHandle);
  return TRUE;
}
int main() {
  BOOL bOk = FALSE;
  ULONG32 ProcessID = 0;
  WCHAR   BufferData[MAX_PATH] = { 0 };
  //定义完整路径数组,
  //windows规定存放完整路径的数组最大为260个字节;
  printf("Input Process ID\r\n");
  scanf_s("%d", &ProcessID);
  bOk = GetProcessFullPathByProcessID(ProcessID, BufferData, MAX_PATH);
  //用自定义函数实现从进程ID得到进程完整路径的过程(进程ID,完整路径(存放的数组名),数组长度)
  std::cout << bOk << std::endl;
  if (bOk == TRUE)
  {
    printf("%S\r\n", BufferData);
    //BufferData双字,故用大S输出字符串;
  }
  system("pause");
  return 0;
}

NtSetInformationProcess函数

参考 SetProcessInformation function msdn

设置指定进程的信息

函数原型

BOOL SetProcessInformation(
  [in] HANDLE                    hProcess,
  [in] PROCESS_INFORMATION_CLASS ProcessInformationClass,
       LPVOID                    ProcessInformation,
  [in] DWORD                     ProcessInformationSize
);

示例:使进程跳过DEP检测 关闭DEP

代码可参考

ZwCreateThreadEx函数

函数原型

NtQueryVirtualMemory

解密NtQueryVirtualMemory

msdn NtQueryVirtualMemor

查询指定进程的某个虚拟地址控件所在的内存对象的一些信息。

函数原型

NTSTATUS NTAPI NtQueryVirtualMemory(
          IN HANDLE                 ProcessHandle,          //目标进程句柄
          IN PVOID                  BaseAddress,          //目标内存地址
          IN MEMORY_INFORMATION_CLASS   MemoryInformationClass,     //查询内存信息的类别
          OUT PVOID                 Buffer,               //用于存储获取到的内存信息的结构地址
          IN ULONG                  Length,               //Buffer的最大长度
          OUT PULONG                ResultLength OPTIONAL);     //存储该函数处理返回的信息的长度的ULONG的地址
);

第一个参数是目标进程的句柄;

第二个参数是要查询的内存地址;

第四个参数是根据第三个参数选用不同的结构去接收内存信息的地址。

第五个和第六个参数为Buffer长度,和函数处理结果返回的长度。

第三个参数MEMORY_INFORMATION_CLASS 表示需要获取内存的信息的类型

类型有以下几种:

//MEMORY_INFORMATION_CLASS定义
typedef enum _MEMORY_INFORMATION_CLASS
{
 MemoryBasicInformation,        //内存基本信息
 MemoryWorkingSetInformation,     //工作集信息
 MemoryMappedFilenameInformation    //内存映射文件名信息
} MEMORY_INFORMATION_CLASS;

MemoryBasicInformation

内存基本信息

typedef struct _MEMORY_BASIC_INFORMATION {
    PVOID     BaseAddress;
    PVOID     AllocationBase;
    DWORD     AllocationProtect;
    SIZE_T    RegionSize;
    DWORD     State;
    DWORD     Protect;
    DWORD     Type;
} MEMORY_BASIC_INFORMATION, *PMEMORY_BASIC_INFORMATION;

代码使用可参考 DllFinder Process::ListModulesVQ

MemoryWorkingSetInformation

工作集信息

typedef struct _MEMORY_WORKING_SET_INFORMATION {
  ULONG   SizeOfWorkingSet;
  DWORD   WsEntries[ANYSIZE_ARRAY];
} MEMORY_WORKING_SET_INFORMATION, *PMEMORY_WORKING_SET_INFORMATION;

MemoryMappedFilenameInformation

内存映射文件名信息

#define _MAX_OBJECT_NAME 1024/sizeof(WCHAR)
typedef struct _MEMORY_MAPPED_FILE_NAME_INFORMATION {
 UNICODE_STRING Name;
 WCHAR     Buffer[_MAX_OBJECT_NAME];
} MEMORY_MAPPED_FILE_NAME_INFORMATION, *PMEMORY_MAPPED_FILE_NAME_INFORMATION; 

示例:获取进程映像文件名

示例:查询内存保护模式类型 PAGE_EXECUTE_READWRITE

int main() {
  DWORD dwProcessId = 33700;
  HANDLE hProcess;
  NTSTATUS status = PhNtOpenProcess(&hProcess,
    PROCESS_QUERY_INFORMATION |
    PROCESS_VM_READ, dwProcessId);
  if (!NT_SUCCESS(status)) {
    status = PhNtOpenProcess(&hProcess,
      PROCESS_QUERY_INFORMATION, dwProcessId);
    if (!NT_SUCCESS(status))
      return -1;
  }
  void* pBaseAddres = NULL;
  MEMORY_BASIC_INFORMATION basicInfo;
  while (NT_SUCCESS(NtQueryVirtualMemory(
    hProcess, pBaseAddres, MemoryBasicInformation, &basicInfo,
    sizeof(MEMORY_BASIC_INFORMATION), NULL))) {
    ULONG dwState = basicInfo.State;
    DWORD protectStatus = basicInfo.Protect;
    if (protectStatus == PAGE_EXECUTE_READWRITE) {
      printf("memery PAGE_EXECUTE_READWRITE exist! \n");
      break;
    }
    pBaseAddres = PTR_ADD_OFFSET(pBaseAddres, basicInfo.RegionSize);
  }
  return 0;
}

NtReadVirtualMemory

函数原型

读取进程内存内容

NTSTATUS
NtReadVirtualMemory (
     IN HANDLE ProcessHandle,//进程句柄
     IN PVOID BaseAddress,//基地址
     OUT PVOID Buffer,//输出的内容
     IN SIZE_T BufferSize,//输出大小
     OUT PSIZE_T NumberOfBytesRead OPTIONAL//读取字节数
)

示例:简单用法

int main() {
  int adrnum = 0;
  DWORD dwPid = 26392;
  HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, 0, dwPid);
  NtReadVirtualMemory(hProcess, (PVOID)0x90000, (LPVOID)&adrnum, 4, 0);
  CloseHandle(hProcess);
  printf("%d\n", adrnum);
  system("pause");
  return 0;
}

NtQuerySystemInformation

查询到特定的系统信息

函数原型

NTSYSCALLAPI
NTSTATUS
NTAPI
NtQuerySystemInformation(
    _In_ SYSTEM_INFORMATION_CLASS SystemInformationClass,
    _Out_writes_bytes_opt_(SystemInformationLength) PVOID SystemInformation,
    _In_ ULONG SystemInformationLength,
    _Out_opt_ PULONG ReturnLength
    );

第一个参数 SystemInformationClass: 所要查询的系统信息的类型

第二个参数 SystemInformation:输出的系统信息内容的指针

第三个参数 SystemInformationLength:接受长度

第四个参数 ReturnLength:实际返回长度

示例:查询系统基本信息

SYSTEM_BASIC_INFORMATION systemBasicInformation = {};
NTSTATUS status = NtQuerySystemInformation(
  SystemBasicInformation, &systemBasicInformation, sizeof(SYSTEM_BASIC_INFORMATION), NULL);

NtQueryInformationThread

检索指定的线程信息。

函数原型

NTSYSCALLAPI
NTSTATUS
NTAPI
NtQueryInformationThread(
    _In_ HANDLE ThreadHandle,//线程句柄
    _In_ THREADINFOCLASS ThreadInformationClass, //查询线程信息的类型
    _Out_writes_bytes_(ThreadInformationLength) PVOID ThreadInformation, //接受线程信息的指针
    _In_ ULONG ThreadInformationLength,//线程信息长度
    _Out_opt_ PULONG ReturnLength//返回长度
    );

示例:获得线程起始地址

#include <phnt_windows.h>
#include <phnt.h>
#include <stdio.h>
int main()
{   
    DWORD dwThreadId = GetCurrentThreadId();
    HANDLE hThread = NULL;
    hThread = OpenThread(THREAD_QUERY_INFORMATION, FALSE, dwThreadId);
    if (!hThread)
    {
      return -1;
    }
    DWORD dwStaAddr = NULL;
    DWORD dwReturnLength = 0;
    NTSTATUS status = NtQueryInformationThread(hThread, ThreadQuerySetWin32StartAddress,
      &dwStaAddr, sizeof(dwStaAddr), &dwReturnLength);
    if (!NT_SUCCESS(status))
    {
      return -1;
    }
    printf("0x%p", dwStaAddr);
    return 0;
}

示例:通过线程获得进程ID

THREAD_BASIC_INFORMATION threadBasicInfo;
NtQueryInformationThread(hThread, ThreadBasicInformation, &threadBasicInfo, sizeof(threadBasicInfo), &dwReturnLength);
printf("processId:%d", threadBasicInfo.ClientId.UniqueProcess);

总结


相关文章
|
1月前
|
人工智能 数据处理 C#
AI Dev Gallery:微软开源 Windows AI 模型本地运行工具包和示例库,助理开发者快速集成 AI 功能
微软推出的AI Dev Gallery,为Windows开发者提供开源AI工具包和示例库,支持本地运行AI模型,提升开发效率。
87 13
|
6月前
|
安全 Java API
告别繁琐编码,拥抱Java 8新特性:Stream API与Optional类助你高效编程,成就卓越开发者!
【8月更文挑战第29天】Java 8为开发者引入了多项新特性,其中Stream API和Optional类尤其值得关注。Stream API对集合操作进行了高级抽象,支持声明式的数据处理,避免了显式循环代码的编写;而Optional类则作为非空值的容器,有效减少了空指针异常的风险。通过几个实战示例,我们展示了如何利用Stream API进行过滤与转换操作,以及如何借助Optional类安全地处理可能为null的数据,从而使代码更加简洁和健壮。
174 0
|
4月前
|
监控 Ubuntu Linux
视频监控笔记(五):Ubuntu和windows时区同步问题-your clock is behind
这篇文章介绍了如何在Ubuntu和Windows系统中通过设置相同的时区并使用ntp服务来解决时间同步问题。
114 4
视频监控笔记(五):Ubuntu和windows时区同步问题-your clock is behind
|
5月前
|
网络协议 API Windows
MASM32编程调用 API函数RtlIpv6AddressToString,windows 10 容易,Windows 7 折腾
MASM32编程调用 API函数RtlIpv6AddressToString,windows 10 容易,Windows 7 折腾
|
5月前
|
Windows
[原创]用MASM32编程获取windows类型
[原创]用MASM32编程获取windows类型
|
5月前
|
JavaScript 前端开发 API
MASM32编程通过WMI获取Windows计划任务
MASM32编程通过WMI获取Windows计划任务
|
4月前
|
IDE API 定位技术
Python--API编程:IP地址翻译成实际的物理地址
Python--API编程:IP地址翻译成实际的物理地址
93 0
|
5月前
|
API Windows
MASM32编程获取Windows当前桌面主题名
MASM32编程获取Windows当前桌面主题名
|
6月前
|
JavaScript API 开发者
RESTful API 设计的传奇征程:突破常规,拥抱最佳实践,铸就编程巅峰!
【8月更文挑战第7天】希望通过以上的探讨,能让您对 RESTful API 设计有更深入的理解和认识。
59 5
|
6月前
|
C# Windows 开发者
当WPF遇见OpenGL:一场关于如何在Windows Presentation Foundation中融入高性能跨平台图形处理技术的精彩碰撞——详解集成步骤与实战代码示例
【8月更文挑战第31天】本文详细介绍了如何在Windows Presentation Foundation (WPF) 中集成OpenGL,以实现高性能的跨平台图形处理。通过具体示例代码,展示了使用SharpGL库在WPF应用中创建并渲染OpenGL图形的过程,包括开发环境搭建、OpenGL渲染窗口创建及控件集成等关键步骤,帮助开发者更好地理解和应用OpenGL技术。
478 0

热门文章

最新文章