w3wp.exe修改php-cgi的記憶體是什麼情況？

出現「w3wp.exe修改php-cgi的記憶體」是因為D盾為了支援同一個伺服器支援多PHP版本，所以D盾是在載入php的php-cgi.exe程序時加入D盾保護的。

本文操作環境：Windows7系統、PHP7.1版、DELL G3電腦

w3wp.exe怎麼修改php-cgi的記憶體?

關於使用D盾,安全狗提示w3wp.exe修改php-cgi.exe記憶體的說明

關於使用D盾，伺服器安全狗提示 w3wp.exe 修改 php-cgi.exe 記憶體的一些說明

最近看到安全狗新版，會有這樣的提示。

為了減少誤解，還是說說這事！

D盾為了支援同一個伺服器支援多PHP版本，所以D盾是在載入php的php-cgi.exe程序時加入D盾保護的。

需要在啟動php-cgi.exe時修改記憶體並讓php-cgi.exe載入D盾的保護模組的DLL。

(最開始想通過php.ini設定來設定啟動，但有些伺服器上可能存在多個PHP版本，很容易疏漏，

也有可能使用者動態修改或新增，無法及時得狀態時就容易導致PHP沒有做到保護，所以放棄這方案)

帖出一部份D盾的啟動php-cgi並開啟D盾保護的delphi程式碼

(為防止駭客瞭解太多細節，忽略一些細節):

// ########################################################
// HOOK執行函數會到這裡過濾處理
// ########################################################
function My_CreateProcessInternalW(dw1_: Pointer; lpApplicationName: LPCWSTR;
lpCommandLine: LPWSTR; lpProcessAttributes, lpThreadAttributes
: PSecurityAttributes; bInheritHandles: BOOL; dwCreationFlags: dword;
lpEnvironment: Pointer; lpCurrentDirectory: LPCWSTR;
const lpStartupInfo: TStartupInfoW;
var lpProcessInformation: TProcessInformation; Dw2: Pointer): BOOL; stdcall;
var
re_add: HMODULE;
is_64_pe: boolean;
Err_index: integer;
ImageBaseAddress, AddressOfEntryPoint_: PVOID64;
P_NT_HEAD_32: PImageNtHeaders32; // NT頭
P_NT_HEAD_64: PImageNtHeaders64; // NT頭
NtHead_: TImageNtHeaders64; // NT頭
dwSize: SIZE_T;
D_Safe_X32_load_manage_A: WideString;
str: string;
lpEnvironment_str: AnsiString;
inf_: PWeb_Http_Context;
Re_Fun_Add: HMODULE;
App_, com_, com_exe_path, dir_: string;
re_app_, re_cs_: string;
App_len, Com_len: dword;
comlin_inf_: TFilePath_pak;
App_inf_: TFilePath_pak;
Ex_Style_: dword;
state_: integer;
Nt_Head_add_: PVOID64;
//簡化了的程序建立函數
function CreateProcessInternalW_do(): BOOL;
begin
Result := CreateProcessInternalW_(dw1_, lpApplicationName, lpCommandLine,
lpProcessAttributes, lpThreadAttributes, bInheritHandles, dwCreationFlags,
lpEnvironment, lpCurrentDirectory, lpStartupInfo,
lpProcessInformation, Dw2);
end;
//執行php-cgi.exe並載入D盾的保護
function RUN_PHP_FCGI(): boolean;
var
err_: integer;
Function Kill_pro(pid_: dword): boolean;
begin
Result := false;
// 顯示不支援保護資訊
// 32位元池的D盾保護模組無法對64位元的PHP做保護,請把池改為64位元或使用32位元的PHP版本
d_msg_(c_no_Support_64_php, NIIF_ERROR_);
// 結束程序
TerminateProcess(OpenProcess(PROCESS_TERMINATE, false, pid_), $FFFFFFFF);
SetLastError(5);
end;
begin
// 建立php-cgi程序
Result := CreateProcessInternalW_do();
if Result then
begin
// 讀到指定程序的NT頭資訊
ImageBaseAddress := D_Get_Process_NtHeaders(lpProcessInformation.hProcess,
NtHead_, is_64_pe, Nt_Head_add_);
if ImageBaseAddress > 0 then
begin
// 如果是64位元程序時
if is_64_pe then
begin
P_NT_HEAD_64 := @NtHead_;
AddressOfEntryPoint_ := ImageBaseAddress +
P_NT_HEAD_64.OptionalHeader.AddressOfEntryPoint;
//如果當前的iis程序不是64位元的，並 php-cgi 的入口位置大於0x100000000時
if (D_IS_Win64_Project() = false) and
(AddressOfEntryPoint_ >= $100000000) then
begin
case WIN_Ver_ of
_WIN_VER_2003, _WIN_VER_2008:
begin
// 寫入D盾的 64位元的 load_manage.dll
if Run_x64_LdrLoadDll(lpProcessInformation.hProcess,
WIN_INF_.D_Safe_X64_load_manage) = false then
begin
// 失敗時,結束程序
Result := Kill_pro(lpProcessInformation.hProcess);
exit;
end
else
begin
Result := true;
SetLastError(0);
exit;
end;
end;
_WIN_VER_2012:
begin
// 不支援保護時，結束程序
Result := Kill_pro(lpProcessInformation.hProcess);
exit;
end;
end;
end
else
begin
// 寫入D盾的 load_manage.dll
if D_Write_DLL_To_Process(lpProcessInformation.hProcess,
AddressOfEntryPoint_, WIN_INF_.D_Safe_X64_load_manage, true) then
begin
Result := true;
SetLastError(0);
exit;
end
else
begin
// 寫入失敗時結束php-cgi程序
Result := Kill_pro(lpProcessInformation.hProcess);
exit;
end;
end;
end
else
begin
// 32位元程式時
P_NT_HEAD_32 := @NtHead_;
AddressOfEntryPoint_ := ImageBaseAddress +
P_NT_HEAD_32.OptionalHeader.AddressOfEntryPoint;
dwSize := sizeof(TSet_Fun_ADD_Head_32);
// 寫入D盾的 load_manage.dll
if D_Write_DLL_To_Process(lpProcessInformation.hProcess,
AddressOfEntryPoint_, WIN_INF_.D_Safe_X32_load_manage, false) then
begin
Result := true;
SetLastError(0);
exit;
end
else
begin
// 寫入失敗時結束php-cgi程序
Result := Kill_pro(lpProcessInformation.hProcess);
exit;
end;
end;
end
else
begin
// 結束php-cgi程序
Result := Kill_pro(lpProcessInformation.hProcess);
exit;
end;
end;
end;
begin
.... //前面的程式碼,忽略
// ######################################################
// 如果是 PHP-cgi.exe
// ######################################################
if (
.... //忽略掉一些程式碼
) and (Pos(CONST_PHP_CGI, App_) > 0) and ((Com_len - App_len) = 2) then
begin
// 執行PHP-cgi.exe,並加入D盾的保護模組
Result := RUN_PHP_FCGI();
exit;
end;
... //後面的程式碼,忽略

如需檢視組合程式碼，可以執行D盾WEB保護的情況下,用OllyICE偵錯 w3wp.exe 程序。

並選定並偵錯 web_safe.dll，查詢字元 php-cgi.exe 即可快速定位相關程式碼位置

如下程式碼為 d_safe_2.1.4.4版本的 x32\web_safe.dll 組合程式碼

05ED9B20 /E9 73010000 jmp web_safe.05ED9C98
05ED9B25 |8B45 28 mov eax, dword ptr [ebp+28]
05ED9B28 |50 push eax
05ED9B29 |8B85 B0FEFFFF mov eax, dword ptr [ebp-150]
05ED9B2F |E8 5C0BDEFF call web_safe.05CBA690
05ED9B34 |8D95 5EFCFFFF lea edx, dword ptr [ebp-3A2]
05ED9B3A |33C9 xor ecx, ecx
05ED9B3C |E8 BF82FAFF call web_safe.05E81E00
05ED9B41 |8D85 B8FEFFFF lea eax, dword ptr [ebp-148]
05ED9B47 |8B95 5EFCFFFF mov edx, dword ptr [ebp-3A2]
05ED9B4D |E8 A60BDEFF call web_safe.05CBA6F8
05ED9B52 |8D85 5EFCFFFF lea eax, dword ptr [ebp-3A2]
05ED9B58 |E8 1F67FAFF call web_safe.05E8027C
05ED9B5D |837D 20 00 cmp dword ptr [ebp+20], 0
05ED9B61 |74 3B je short web_safe.05ED9B9E
05ED9B63 |0FB785 62FCFFFF movzx eax, word ptr [ebp-39E]
05ED9B6A |3BF0 cmp esi, eax
05ED9B6C |75 30 jnz short web_safe.05ED9B9E
05ED9B6E |B9 01000000 mov ecx, 1
05ED9B73 |8B95 C0FEFFFF mov edx, dword ptr [ebp-140]
05ED9B79 |B8 E49CED05 mov eax, web_safe.05ED9CE4 ; php-cgi.exe
05ED9B7E |E8 F910DEFF call web_safe.05CBAC7C
05ED9B83 |85C0 test eax, eax
05ED9B85 |7E 17 jle short web_safe.05ED9B9E
05ED9B87 |2BFE sub edi, esi
05ED9B89 |83FF 02 cmp edi, 2
05ED9B8C |75 10 jnz short web_safe.05ED9B9E
05ED9B8E |55 push ebp
05ED9B8F |E8 A8FBFFFF call web_safe.05ED973C ; 進入 RUN_PHP_FCGI 函數
05ED9B94 |59 pop ecx
05ED9B95 |F6D8 neg al
05ED9B97 |1BDB sbb ebx, ebx
05ED9B99 |E9 FA000000 jmp web_safe.05ED9C98

D盾程式無殼,易偵錯，歡迎技術朋友監督。一直認為第三方的監督才是最好的監督。

--------------------------------------------------------------------------------

最後想說的是，如果禁止D盾在啟動php-cgi.exe時修改記憶體，將會結束php-cgi.exe或無法保護，請不要禁止。

如果使用者覺得需要一個開關來設定保護或不保護PHP的話，請和 啊D QQ:9269563 說說，視使用者反饋情況看

是否要增加一個關掉PHP保護的開關。

D盾為了實現保護，需要大量HOOK相關API來實現保護，大部份都是需要修改組合程式碼的記憶體來實現的，

所以以後不再討論修改記憶體之類的問題，在此宣告一下！

推薦學習：《》

以上就是w3wp.exe修改php-cgi的記憶體是什麼情況？的詳細內容，更多請關注TW511.COM其它相關文章！