4

Часть данного вопроса уже обсуждалась на форуме, но в данный момент задача стоит немного иная. Нужно получить информацию о том, использует ли процесс технологии ASLR и DEP на языке C#.

Данный код, являющийся реинтерпретацией этого кода, работает верно:

    /* Definitions required for getting policies */
    const int Process_Query_Information = 0x0400;
    const int Process_WM_Read = 0x0010;

    public enum Process_Mitigation_Policy
    {
        ProcessDEPPolicy = 0,
        ProcessASLRPolicy = 1
    }

    [StructLayout(LayoutKind.Explicit)]
    public struct union
    {
        [FieldOffset(0)]
        uint EnableBottomUpRandomization;
        [FieldOffset(0)]
        uint EnableForceRelocateImages;
        [FieldOffset(0)]
        uint EnableHighEntropy;
        [FieldOffset(0)]
        uint DisallowStrippedImages;
        [FieldOffset(0)]
        uint ReservedFlags;
    }

    public struct Process_Mitigation_Type_Policy
    {
        uint Flags;

        bool EnableBottomUpRandomization
        {
            get { return (Flags & 1) > 0; }
        }

        bool EnableForceRelocateImage
        {
            get { return (Flags & 2) > 0; }
        }

        bool EnableHighEntropy
        {
            get { return (Flags & 4) > 0; }
        }

        bool DisallowStrippedImages
        {
            get { return (Flags & 8) > 0; }
        }
    }

По аналогии я пытался получить информацию о DEP. Согласно MSDN, определил структуру такого типа:

    public struct Process_Mitigation_DEP_Policy
    {
        uint Flags;

        bool Enable
        {
            get { return (Flags & 1) > 0; }
        }

        bool DisableAtlThunkEmulation
        {
            get { return (Flags & 2) > 0; }
        }
    }

Попробовав использовать реализованный функционал, выяснилось, что с данной структурой те же самые функции работать отказываются. Одна из проблем - мне нужно определить union другого вида, опять же, согласно MSDN (union для DEP), но тогда возникает ошибка переопределения union. Как определить другую структуру и использовать её в том же коде верно мне неясно, особенно учитывая то, что функции WINAPI, описанные на MSDN, представляют примеры функций для C++ и перенос последних на C# тоже достаточно затруднителен.

Вопрос: как правильно получить информацию об использовании DEP и ASLR процессом?

1
  • Если вам дан исчерпывающий ответ, отметьте его как верный (галка напротив выбранного ответа). 17 окт 2016 в 11:28

1 ответ 1

2

Вы забыли поле Permanent в структуре:

struct Process_Mitigation_DEP_Policy
{
    uint Flags;
    bool Permanent;

    bool Enable
    {
        get { return (Flags & 1) > 0; }
    }

    bool DisableAtlThunkEmulation
    {
        get { return (Flags & 2) > 0; }
    }
}

Далее, действительно, функция GetProcessMitigationPolicy принимает 3-м аргументом указатель на одну из множества структур. Поэтому необходимо объявить соответствующие перегрузки, для всех типов структур, которые вы собираетесь использовать:

// Для ASLR
[DllImport("kernel32.dll")]
static extern bool GetProcessMitigationPolicy(
    IntPtr hProcess,
    PROCESS_MITIGATION_POLICY mitigationPolicy,
    ref Process_Mitigation_DEP_Policy lpBuffer,
    int dwLength);

// Для DEP
[DllImport("kernel32.dll")]
static extern bool GetProcessMitigationPolicy(
    IntPtr hProcess,
    PROCESS_MITIGATION_POLICY mitigationPolicy,
    ref PROCESS_MITIGATION_ASLR_POLICY lpBuffer,
    int dwLength);

Функцию вызываем как раньше, передавая ей соответствующую структуру:

// информация по DEP
var depPolicy = new Process_Mitigation_DEP_Policy();

bool success = GetProcessMitigationPolicy(hProc,
    PROCESS_MITIGATION_POLICY.ProcessDEPPolicy,
    ref depPolicy, Marshal.SizeOf(depPolicy));

if (success) {
    // ...
}

// информация по ASLR
var aslrPolicy = new PROCESS_MITIGATION_ASLR_POLICY();

success = GetProcessMitigationPolicy(hProc,
    PROCESS_MITIGATION_POLICY.ProcessASLRPolicy,
    ref aslrPolicy, Marshal.SizeOf(aslrPolicy));

if (success) {
    // ...
}
5
  • большое спасибо, ваш ответ действительно помог - код выполняется верно. Единственный момент - не могу получить информацию о DEP о 64-битных приложениях (функция возвращает false, в то время как Process Explorer говорит, что DEP для данного приложения включен, а наблюдается это только в случае 64-битных приложений), с 32-битными всё работает. Не подскажете, как решить данную ситуацию? Возможно, решить можно через WMI? Заранее спасибо! 17 окт 2016 в 14:55
  • Извините, @kmv , забыл указать ваш ник в комментарии 17 окт 2016 в 16:37
  • @BrianO'Conner действительно, для 64-битных процессов не работает. Не могу пока сказать, почему.
    – kmv
    18 окт 2016 в 3:17
  • 2
    @BrianO'Conner возможно потому, что для 64-битрых процессов DEP включен всегда и отключить его нельзя: On 64-bit versions of Windows, if hardware-enforced DEP is available it is always applied to 64-bit processes and kernel memory spaces and there are no system configuration settings to disable it. stackoverflow.com/questions/1209052/…
    – kmv
    18 окт 2016 в 6:11
  • Спасибо большое, @kmv , учту это в программе 18 окт 2016 в 12:56

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.