È possibile farlo sovrascrivendo la tabella di ambiente all'interno di un processo specifico stesso.
Come prova del concetto ho scritto questa app di esempio, che ha appena modificato una singola variabile di ambiente (nota) in un processo cmd.exe:
typedef DWORD (__stdcall *NtQueryInformationProcessPtr)(HANDLE, DWORD, PVOID, ULONG, PULONG);
int __cdecl main(int argc, char* argv[])
{
HMODULE hNtDll = GetModuleHandleA("ntdll.dll");
NtQueryInformationProcessPtr NtQueryInformationProcess = (NtQueryInformationProcessPtr)GetProcAddress(hNtDll, "NtQueryInformationProcess");
int processId = atoi(argv[1]);
printf("Target PID: %u\n", processId);
// open the process with read+write access
HANDLE hProcess = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION | PROCESS_VM_READ | PROCESS_VM_WRITE | PROCESS_VM_OPERATION, 0, processId);
if(hProcess == NULL)
{
printf("Error opening process (%u)\n", GetLastError());
return 0;
}
// find the location of the PEB
PROCESS_BASIC_INFORMATION pbi = {0};
NTSTATUS status = NtQueryInformationProcess(hProcess, ProcessBasicInformation, &pbi, sizeof(pbi), NULL);
if(status != 0)
{
printf("Error ProcessBasicInformation (0x%8X)\n", status);
}
printf("PEB: %p\n", pbi.PebBaseAddress);
// find the process parameters
char *processParamsOffset = (char*)pbi.PebBaseAddress + 0x20; // hard coded offset for x64 apps
char *processParameters = NULL;
if(ReadProcessMemory(hProcess, processParamsOffset, &processParameters, sizeof(processParameters), NULL))
{
printf("UserProcessParameters: %p\n", processParameters);
}
else
{
printf("Error ReadProcessMemory (%u)\n", GetLastError());
}
// find the address to the environment table
char *environmentOffset = processParameters + 0x80; // hard coded offset for x64 apps
char *environment = NULL;
ReadProcessMemory(hProcess, environmentOffset, &environment, sizeof(environment), NULL);
printf("environment: %p\n", environment);
// copy the environment table into our own memory for scanning
wchar_t *localEnvBlock = new wchar_t[64*1024];
ReadProcessMemory(hProcess, environment, localEnvBlock, sizeof(wchar_t)*64*1024, NULL);
// find the variable to edit
wchar_t *found = NULL;
wchar_t *varOffset = localEnvBlock;
while(varOffset < localEnvBlock + 64*1024)
{
if(varOffset[0] == '\0')
{
// we reached the end
break;
}
if(wcsncmp(varOffset, L"ENVTEST=", 8) == 0)
{
found = varOffset;
break;
}
varOffset += wcslen(varOffset)+1;
}
// check to see if we found one
if(found)
{
size_t offset = (found - localEnvBlock) * sizeof(wchar_t);
printf("Offset: %Iu\n", offset);
// write a new version (if the size of the value changes then we have to rewrite the entire block)
if(!WriteProcessMemory(hProcess, environment + offset, L"ENVTEST=def", 12*sizeof(wchar_t), NULL))
{
printf("Error WriteProcessMemory (%u)\n", GetLastError());
}
}
// cleanup
delete[] localEnvBlock;
CloseHandle(hProcess);
return 0;
}
Uscita campione:
>set ENVTEST=abc
>cppTest.exe 13796
Target PID: 13796
PEB: 000007FFFFFD3000
UserProcessParameters: 00000000004B2F30
environment: 000000000052E700
Offset: 1528
>set ENVTEST
ENVTEST=def
Appunti
Questo approccio sarebbe inoltre limitato alle restrizioni di sicurezza. Se il target viene eseguito a una quota più elevata o con un account più elevato (come SYSTEM), non avremmo il permesso di modificare la sua memoria.
Se si desidera eseguire questa operazione su un'app a 32 bit, gli offset con codice fisso sopra cambieranno rispettivamente in 0x10 e 0x48. Questi offset possono essere trovati scaricando le strutture _PEB e _RTL_USER_PROCESS_PARAMETERS in un debugger (ad esempio in WinDbg dt _PEBe dt _RTL_USER_PROCESS_PARAMETERS)
Per modificare la bozza di concetto in una cosa di cui l'OP ha bisogno, enumera semplicemente il sistema corrente e le variabili di ambiente dell'utente (come documentato dalla risposta di @ tsadok) e scrive l'intera tabella di ambiente nella memoria del processo di destinazione.
Modifica: la dimensione del blocco ambiente è anche memorizzata nella struttura _RTL_USER_PROCESS_PARAMETERS, ma la memoria è allocata sull'heap del processo. Quindi da un processo esterno non avremmo la possibilità di ridimensionarlo e ingrandirlo. Ho giocato con l'utilizzo di VirtualAllocEx per allocare memoria aggiuntiva nel processo di destinazione per l'archiviazione dell'ambiente e sono stato in grado di impostare e leggere una tabella completamente nuova. Sfortunatamente, qualsiasi tentativo di modificare l'ambiente dai normali mezzi andrà in crash e brucerà poiché l'indirizzo non punta più all'heap (andrà in crash in RtlSizeHeap).