将 C# 字符串从用户空间传递到内核模式 C 并使用它来查找特定LDR_DATA_TABLE_ENTRY时出现问题

Question

我很难比较从用户模式类型 LPWSTR 传递到 LDR 表条目类型的字符串UNICODE_STRING

内核 C：

struct {
int pid;
int user_pid;
int size;
int protection_mode;
int allocation_type;
void* address;
void* write_buffer;
LPWSTR module_name;
}
userland_operation;

此结构通过 deviceiocontrol 传递到内核。对应的用户空间结构如下：

public struct MemOperation
{
public int Pid;
public int UserPid;
public int Size;
public int protection_mode;
public int allocation_type;
public IntPtr Addr;
public IntPtr WriteBuffer;
[MarshalAs(UnmanagedType.LPWStr)] public String ModuleName;
}

其中字符串ModuleName封送为 LPWStr。

ModuleName是进程中加载的模块所需的搜索词。现在，事情变得棘手了。我可以通过_LDR_DATA_TABLE_ENTRY访问的字符串是一个UNICODE_STRING。我想将此UNICODE_STRING与我的LPWSTR进行比较。

我尝试了以下方法，但没有奏效：

{
UNICODE_STRING str;
RtlInitUnicodeString(&str, module_name) // module name is the userland passed string LPWSTR
if (RtlCompareUnicodeString(&str, &module_ldr->BaseDllName, TRUE) {

}
}

我也尝试过wcscmp，以及其他一些东西。我不确定如何正确比较这两者。我在函数中添加了一些次要的伪代码，以提供有关我想要做的事情的其他上下文。

NTSTATUS GetModuleList(HANDLE PID, PVOID UserBuffer, LPWSTR module_name) {
KAPC_STATE APC;
__try {
PEPROCESS TargetProcess;
PsLookupProcessByProcessId(PID, &TargetProcess);
PPEB Peb = PsGetProcessPeb(TargetProcess);
if (!Peb)
return STATUS_INVALID_PARAMETER;
KeStackAttachProcess(TargetProcess, &APC);
UINT64 Ldr = (UINT64)Peb + PEBLDR_OFFSET;
ProbeForRead((CONST PVOID)Ldr, 8, 8);
PLIST_ENTRY ModListHead = (PLIST_ENTRY)(*(PULONG64)Ldr + PEBLDR_MEMORYLOADED_OFFSET);
ProbeForRead((CONST PVOID)ModListHead, 8, 8);
PLIST_ENTRY Module = ModListHead->Flink;
while (ModListHead != Module) {
LDR_DATA_TABLE_ENTRY* Module_Ldr = (LDR_DATA_TABLE_ENTRY*)(Module);
//psuedo  if (module_name is in Module_Ldr->BaseDllName) // the comparison, where BaseDllName is type UNICODE_STRING
Module = Module->Flink;
}
KeUnstackDetachProcess(&APC);
ObDereferenceObject(TargetProcess);
return STATUS_SUCCESS;

Answer 1

在下面的这个电话中：

if (RtlCompareUnicodeString(&str, &module_ldr->BaseDllName) {

此函数采用您未传递的附加参数。 请参考 https://learn.microsoft.com/en-us/windows/win32/devnotes/rtlcompareunicodestring

Answer 2

我想我会回答这个问题，因为我几年前问过它，不再有这个问题。

我在调用KeStackAttachProcess之前从用户空间创建的字符串一旦被调用就无效。我不太确定这是否就是堆栈附加到进程的工作方式，但无论修复程序如何都是非常微不足道的，例如(这是伪的(：

RtlInitUnicodeString(&str, module_name)
UNICODE_STRING example;
KeStachAttachProcess()
example = &module_ldr->BaseDllName;
KeStackDetachProcess()
RtlCompareUnicodeString(&example, &module_name)

在附件之外进行比较的地方。