Запуск процесса из памяти C / C ++

Question

Моя функция:

       /*
--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_
runPE(
dosheader ptr,
ntheader ptr,
sectionheader ptr,
ptr to exebuffer,
DWORD SizeOfImage(Alignment fixed))
_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--_--
*/

int runPE2(IMAGE_DOS_HEADER* pDOS,IMAGE_NT_HEADERS * pNT,IMAGE_SECTION_HEADER * pSection,char* pData,DWORD szImage)
{
    STARTUPINFO si = {0};
    PROCESS_INFORMATION pi;
    CONTEXT ctx;

    if(CreateProcess(NULL,szFileName,NULL, NULL, 0, CREATE_SUSPENDED, NULL, NULL, &si,&pi))
    {
        ctx.ContextFlags = CONTEXT_FULL;
        if(!GetThreadContext(pi.hThread,&ctx))
        {
            MessageBoxA(0,"GetThreadContext Error!","Error",0);
        }
        DWORD dwImagebase = NULL;
        DWORD dwBytesRead = NULL;
        DWORD dwByteswritten = NULL;
        DWORD dwOldProtection = NULL;

        if(!ReadProcessMemory(pi.hProcess,(LPVOID)(ctx.Ebx + 8),&dwImagebase,sizeof(DWORD),&dwBytesRead))
        {
            MessageBoxA(0,"RPM Error!","Error",0);
        }
        VirtualProtect(&pNT->OptionalHeader.ImageBase,sizeof(DWORD),PAGE_READWRITE,&dwOldProtection);
        pNT->OptionalHeader.ImageBase = dwImagebase;
        VirtualProtect(&pNT->OptionalHeader.ImageBase,sizeof(DWORD),dwOldProtection,&dwOldProtection);


        UnmapViewOfSection_ pZwUnmapViewOfSection = (UnmapViewOfSection_)GetProcAddress(GetModuleHandle("ntdll.dll"), "ZwUnmapViewOfSection");

        if(pZwUnmapViewOfSection(pi.hProcess, (LPVOID)dwImagebase) != 0)
        {
            MessageBoxA(0,"Unmaping Error!","Error",0);
        }

        void* newBase = VirtualAllocEx(pi.hProcess, (LPVOID)pNT->OptionalHeader.ImageBase,szImage, MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE);
        if(!newBase)
        {
            MessageBoxA(0,"Allocting Error!","Error",0);
        }

        if(!WriteProcessMemory(pi.hProcess,(LPVOID)(ctx.Ebx + 8),newBase, sizeof(DWORD), &dwByteswritten))
        {
            MessageBoxA(0,"WPM Imagebase Error!","Error",0);
        }

        if(!WriteProcessMemory(pi.hProcess,newBase,pData,pNT->OptionalHeader.SizeOfHeaders, &dwByteswritten))
        {
            MessageBoxA(0,"WPM SizeOfHeaders Error!","Error",0);
        }

        for(int i = 0; i < pNT->FileHeader.NumberOfSections; i++)
        {
            pSection = (PIMAGE_SECTION_HEADER)((char*)(pData + pDOS->e_lfanew +  sizeof(IMAGE_NT_HEADERS) + sizeof(IMAGE_SECTION_HEADER) * i));
            if(!WriteProcessMemory(pi.hProcess,(char*)(pNT->OptionalHeader.ImageBase + pSection->VirtualAddress),(char*)(pData + pSection->PointerToRawData),pSection->SizeOfRawData, &dwByteswritten))
            {
                MessageBoxA(0,"WPM in LOOP Error!","Error",0);
            }
        }

        ctx.Eax = (DWORD)newBase + pNT->OptionalHeader.AddressOfEntryPoint;        // eax holds new entry point

        if(!SetThreadContext(pi.hThread,&ctx))
        {
            MessageBoxA(0,"SetThreadContext Error!","Error",0);
        }

        if(!ResumeThread(pi.hThread))
        {
            MessageBoxA(0,"ResumeThread Error!","Error",0);
        }

        CloseHandle(pi.hThread);
        CloseHandle(pi.hProcess);

        TerminateProcess(pi.hProcess,0);

        return 1;
    }
    return -1;
}  

Ошибка, которую я получаю после ResumeThread: «Не удалось запустить приложение (0xc0000005)

Спасибо, что читаете Надеюсь, что кто-то поможет

Информация: ОС: Win7 компилятор VC ++ 2010 целевое приложение; Простое приложение "Hello World"; консоль win32

Answer 1

Проверьте функцию VirtualProtect. Кажется, что это не удалось. Вызов GetLastError (). Я думаю, что это должно быть значение 0x1e7. Проверьте свой базовый адрес и адреса в разделе «.text». Я сделал это путем ручной обработки таблицы импорта. Просто простой анализатор PE и функция GetProcAddress. После этого вам необходимо рассчитать базовый адрес процесса и применить перемещение, хранящееся в разделе «.reloc».