Патчинг ImagePathName

[Hayes]

Всем привет. Понадобилась возможность патчить путь к текущему модулю, то значение которое дает GetModuleFileNameW(NULL, ...). Патчинг peb->ProcessParameters->ImagePathName не помогает. Посмотрел в отладчике, выходит что путь кешируется и LdrGetFullName отдает путь читая путь из хипа. Может как то можно выйти на эти указатели, не хочется хукать LdrGetFullName

 

[Stupor]

Да действительно работает. Че то жестко тупанул:
C++:
Скопировать в буфер обмена
bool SetCurrentModulePath(PCWSTR path)
{
PPEB peb = (PPEB)NtCurrentTeb()->ProcessEnvironmentBlock;
PPEB_LDR_DATA ldr = (PPEB_LDR_DATA)peb->Ldr;

((PLDR_DATA_TABLE_ENTRY)ldr->InLoadOrderModuleList.Flink)->FullDllName;

API(NTDLL, RtlCreateUnicodeString)(&((PLDR_DATA_TABLE_ENTRY)ldr->InLoadOrderModuleList.Flink)->FullDllName, path);

return true;
}
Последнее редактирование: 14.02.2024