Come eseguire un eseguibile non gestito dalla memoria anziché dal disco

Question

Desidero incorporare un'utilità della riga di comando nell'applicazione C#, in modo che possa acquisire i suoi byte come matrice ed eseguire l'eseguibile senza mai salvarlo sul disco come separato file (evita di memorizzare l'eseguibile come file separato ed evita di dover scrivere file temporanei ovunque).

Non riesco a trovare un metodo per eseguire un eseguibile dal proprio flusso di byte. Windows richiede che sia su un disco o esiste un modo per eseguirlo dalla memoria? Se Windows richiede che sia su disco, c'è un modo semplice nel framework .NET per creare un disco/file virtuale di qualche tipo e mappare il file allo stream di memoria dell'eseguibile?

Answer 1

Creare un RAMdisk o eseguire il dump del codice in memoria e quindi eseguirlo sono entrambe possibili, ma soluzioni estremamente complicate (possibilmente di più nel codice gestito).

Ha bisogno di essere un eseguibile? Se lo impacchettate come assembly, potete usare Assembly.Load() da un flusso di memoria: un paio di linee di codice banali.

Oppure, se davvero deve essere un eseguibile, cosa c'è di sbagliato nella scrittura di un file temporaneo? Ci vorranno poche righe di codice per scaricarlo in un file temporaneo, eseguirlo, attendere che esca e quindi eliminare il file temporaneo - potrebbe non uscire nemmeno dalla cache del disco prima di averlo cancellato! A volte la soluzione semplice e ovvia è la soluzione migliore.

Answer 2

Dai un'occhiata alla sezione "In memoria" di questo documento. Renditi conto che è da una prospettiva di iniezione DLL remota, ma il concetto dovrebbe essere lo stesso.

Remote Library Injection

Answer 3

si sta chiedendo molto a basso livello, funzionalità specifiche per la piattaforma da attuare in un alto livello, ambiente gestito. Tutto è possibile ... ma nessuno ha detto che sarebbe stato facile ...

(a proposito, non so il motivo per cui si pensa la gestione dei file temp è onerosa Il BCL lo fa per te:. http://msdn.microsoft.com/en-us/library/system.io.path.gettempfilename.aspx)

---

1. Assegna memoria sufficiente per contenere l'eseguibile. Ovviamente non può risiedere nell'heap gestito, quindi, come quasi tutto in questo esercizio, è necessario PInvoke. (Raccomando C++/CLI, in realtà, in modo da non guidare te stesso troppo pazzo). Prestare particolare attenzione ai bit dell'attributo che si applicano alle pagine di memoria allocate: correggerli e aprire una falla di sicurezza aperta o interrompere il processo tramite DEP (ad esempio, si arresta in modo anomalo). Vedere http://msdn.microsoft.com/en-us/library/aa366553(VS.85).aspx

2. Individuare l'eseguibile nella libreria di risorse dell'assembly e acquisire un pinned handle.

3. Memcpy() il codice dall'area bloccata dell'heap gestito al blocco nativo.

4. Libero il GCHandle.

5. Chiamare VirtualProtect per impedire ulteriori scritture al blocco di memoria eseguibile.

6. Calcolare l'indirizzo della funzione Main dell'eseguibile all'interno dello spazio di indirizzi virtuali del processo, in base all'handle ottenuto da VirtualAlloc e l'offset all'interno del file come mostrato da DUMPBIN o strumenti simili.

7. Posizionare gli argomenti della riga di comando desiderati nello stack. (Windows Stdcall convention). Eventuali puntatori devono indicare le regioni native o bloccate, ovviamente.

8. Salta all'indirizzo calcolato. Probabilmente il modo più semplice per usare _call (linguaggio assembly inline).

9. Pregate Dio che l'immagine eseguibile non abbia salti assoluti in essa che sarebbero stati risolti chiamando LoadLibrary nel modo normale. (A meno che, naturalmente, non vogliate implementare nuovamente il cervello di LoadLibrary durante il passaggio n. 3).

10. Recupera il valore di ritorno dal registro @eax.

11. Chiama VirtualFree.

I passaggi 5 e 11 devono essere eseguiti in un blocco finale e/o utilizzare il modello IDisposable.

---

L'altra opzione principale sarebbe quella di creare un RAMdrive, scrivere l'eseguibile lì, eseguirlo e pulirlo. Questo potrebbe essere un po 'più sicuro poiché non stai cercando di scrivere codice auto-modificante (che è comunque difficile, ma soprattutto quando il codice non è nemmeno tuo). Ma sono abbastanza certo che richiederà ancora più chiamate API della piattaforma rispetto all'opzione di iniezione dinamica del codice - tutti che richiedono C++ o PInvoke, naturalmente.

Answer 4

Questo non è consentito in Vista +. È possibile utilizzare alcune chiamate API Win32 non documentate in XP per farlo, ma era rotto in Vista + perché si trattava di un enorme buco di sicurezza e le uniche persone che lo utilizzavano erano scrittori di malware.