Làm thế nào để chạy không thể quản lý thực thi từ bộ nhớ thay vì đĩa

Question

Tôi muốn nhúng tiện ích dòng lệnh trong ứng dụng C# của mình, để tôi có thể lấy byte của nó dưới dạng mảng và chạy tệp thực thi mà không bao giờ lưu nó vào đĩa tệp (tránh lưu trữ tệp thực thi dưới dạng tệp riêng biệt và tránh khả năng ghi tệp tạm thời ở bất kỳ đâu).

Tôi không thể tìm thấy phương thức để chạy tệp thi hành chỉ từ luồng byte của nó. Có cửa sổ yêu cầu nó được trên một đĩa, hoặc là có một cách để chạy nó từ bộ nhớ? Nếu các cửa sổ yêu cầu nó nằm trên đĩa, có cách nào dễ dàng trong .NET framework để tạo một ổ đĩa ảo/tệp tin nào đó và ánh xạ tệp đó tới luồng bộ nhớ của tệp thực thi không?

Answer 1

Tạo RAM hoặc bán mã vào bộ nhớ và sau đó thực hiện cả hai khả năng, nhưng các giải pháp cực kỳ phức tạp (có thể nhiều hơn như vậy trong mã được quản lý).

Ứng dụng có cần thực thi không? Nếu bạn đóng gói nó như một assembly, bạn có thể sử dụng Assembly.Load() từ một luồng bộ nhớ - một vài dòng mã nhỏ.

Hoặc nếu nó thực sự phải là tệp thực thi, điều gì thực sự sai khi viết tệp tạm thời? Nó sẽ mất một vài dòng mã để đổ nó vào một tập tin tạm thời, thực hiện nó, chờ cho nó để thoát ra, và sau đó xóa các tập tin tạm thời - nó có thể thậm chí không nhận được ra khỏi bộ nhớ cache đĩa trước khi bạn đã xóa nó! Đôi khi giải pháp đơn giản, rõ ràng là giải pháp tốt nhất.

Answer 2

Hãy xem phần "Trong bộ nhớ" của bài báo này. Nhận ra rằng nó từ góc độ tiêm DLL từ xa, nhưng khái niệm phải giống nhau.

Remote Library Injection

Answer 3

Bạn đang yêu cầu một mức độ thấp rất, tính năng nền tảng cụ thể được thực hiện trong một trình độ cao, môi trường quản lý. Bất cứ điều gì cũng có thể xảy ... nhưng không ai biết nó sẽ được dễ dàng ...

(BTW, tôi không biết tại sao bạn nghĩ rằng quản lý tập tin tạm thời là lựa chọn hợp lý Các BCL nào đó cho bạn:. http://msdn.microsoft.com/en-us/library/system.io.path.gettempfilename.aspx)

---

1. Phân bổ đủ bộ nhớ để giữ tệp thực thi. Nó không thể cư trú trên heap được quản lý, tất nhiên, vì vậy giống như hầu như tất cả mọi thứ trong bài tập này, bạn sẽ cần phải PInvoke. (Tôi khuyên bạn nên sử dụng C++/CLI, để không tự lái xe quá phát điên). Đặc biệt chú ý đến các bit thuộc tính mà bạn áp dụng cho các trang bộ nhớ được phân bổ: làm cho chúng sai và bạn sẽ mở lỗ hổng bảo mật hoặc quá trình DEP của bạn bị tắt (tức là bạn sẽ gặp sự cố). Xem http://msdn.microsoft.com/en-us/library/aa366553(VS.85).aspx

2. Định vị tệp thực thi trong thư viện tài nguyên của hội đồng của bạn và nhận được pinned handle cho nó.

3. Memcpy() mã từ vùng được ghim của vùng được quản lý vào khối gốc.

4. Miễn phí GCHandle.

5. Gọi VirtualProtect để tránh ghi thêm vào khối bộ nhớ thực thi.

6. Tính địa chỉ của hàm chính của tệp thi hành trong không gian địa chỉ ảo của tiến trình, dựa trên xử lý bạn nhận được từ VirtualAlloc và phần bù trong tệp như được hiển thị bởi DUMPBIN hoặc các công cụ tương tự.

7. Đặt đối số dòng lệnh mong muốn trên ngăn xếp. (Windows Stdcall convention). Bất kỳ con trỏ nào cũng phải trỏ đến khu vực bản xứ hoặc được ghim, tất nhiên.

8. Chuyển đến địa chỉ được tính toán. Có lẽ dễ nhất để sử dụng _call (ngôn ngữ lắp ráp nội tuyến).

9. Cầu nguyện với Chúa rằng hình ảnh thực thi không có bất kỳ bước nhảy tuyệt đối nào trong đó có thể đã được sửa bằng cách gọi LoadLibrary theo cách thông thường. (Trừ khi, tất nhiên, bạn cảm thấy như tái triển khai bộ não của LoadLibrary trong bướC# 3).

10. Truy xuất giá trị trả về từ thanh ghi @eax.

11. Gọi VirtualFree.

Các bướC# 5 và # 11 phải được thực hiện trong khối cuối cùng và/hoặc sử dụng mẫu IDisposable.

---

Tùy chọn chính khác là tạo RAMdrive, viết tệp thực thi ở đó, chạy và dọn dẹp. Điều đó có thể an toàn hơn một chút vì bạn không cố gắng viết mã tự sửa đổi (điều này rất khó trong mọi trường hợp, nhưng đặc biệt là khi mã không phải là của bạn). Nhưng tôi khá chắc chắn nó sẽ yêu cầu các cuộc gọi API nền tảng hơn là tùy chọn tiêm mã động - tất cả chúng đều yêu cầu C++ hoặc PInvoke, một cách tự nhiên.

Answer 4

Điều này rõ ràng không được phép trong Vista +. Bạn có thể sử dụng một số cuộc gọi Win32 API không có giấy tờ trong XP để làm điều này nhưng nó đã bị hỏng trong Vista + bởi vì nó là một lỗ hổng bảo mật lớn và chỉ những người sử dụng nó là các nhà văn độc hại.