Windows内核利用：探索 NTQuerySystemInformation() 的奥秘

2024-01-02 07:38:19

在这个激动人心的 Windows 内核利用之旅的第四部分中，我们将深入探讨 NTQuerySystemInformation() 函数的神秘世界。这个强大的 API 函数允许我们从内核中提取宝贵的信息，从而为我们的利用奠定基础。

NTQuerySystemInformation() 简介

NTQuerySystemInformation() 函数是 Windows 内核中一个关键的系统调用，它允许应用程序请求有关系统状态和配置的各种信息。通过指定一个系统信息类参数，我们可以检索有关进程、线程、模块、驱动程序和其他系统组件的数据。

利用 NTQuerySystemInformation()

熟练掌握 NTQuerySystemInformation() 的利用技巧可以显著增强我们的内核利用能力。以下是一些常见的利用场景：

枚举系统进程和线程： 我们可以使用 SystemProcessInformation 和 SystemThreadInformation 类检索系统中正在运行的进程和线程列表。这可以帮助我们识别目标进程并与其进行交互。
确定模块加载顺序： 通过 SystemModuleInformation 类，我们可以枚举加载到系统中的所有模块，包括恶意软件或隐蔽进程。
检测驱动程序存在： 使用 SystemDriverInformation 类，我们可以枚举系统中加载的所有驱动程序，包括特权驱动程序和 rootkit。

实例：枚举系统进程

让我们通过一个简单的示例来说明如何使用 NTQuerySystemInformation() 枚举系统进程：

#include <windows.h>
#include <tlhelp32.h>

int main() {
    ULONG size = 0;
    NTSTATUS status = NtQuerySystemInformation(
        SystemProcessInformation,
        NULL,
        size,
        &size
    );
    if (status == STATUS_INFO_LENGTH_MISMATCH) {
        PVOID buffer = malloc(size);
        status = NtQuerySystemInformation(
            SystemProcessInformation,
            buffer,
            size,
            &size
        );
        if (NT_SUCCESS(status)) {
            PSYSTEM_PROCESS_INFORMATION procInfo = (PSYSTEM_PROCESS_INFORMATION)buffer;
            while (procInfo != NULL) {
                wprintf(L"%d\t%s\n", procInfo->UniqueProcessId, procInfo->ImageName.Buffer);
                procInfo = procInfo->NextEntryOffset ? (PSYSTEM_PROCESS_INFORMATION)((BYTE*)procInfo + procInfo->NextEntryOffset) : NULL;
            }
            free(buffer);
        }
    }
    return 0;
}