指定されたプロセス自体の中で環境テーブルを上書きすることにより、これを行うことができます。
概念実証として、cmd.exeプロセスで単一の（既知の）環境変数を編集しただけのこのサンプルアプリを作成しました。
typedef DWORD (__stdcall *NtQueryInformationProcessPtr)(HANDLE, DWORD, PVOID, ULONG, PULONG);
int __cdecl main(int argc, char* argv[])
{
HMODULE hNtDll = GetModuleHandleA("ntdll.dll");
NtQueryInformationProcessPtr NtQueryInformationProcess = (NtQueryInformationProcessPtr)GetProcAddress(hNtDll, "NtQueryInformationProcess");
int processId = atoi(argv[1]);
printf("Target PID: %u\n", processId);
// open the process with read+write access
HANDLE hProcess = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION | PROCESS_VM_READ | PROCESS_VM_WRITE | PROCESS_VM_OPERATION, 0, processId);
if(hProcess == NULL)
{
printf("Error opening process (%u)\n", GetLastError());
return 0;
}
// find the location of the PEB
PROCESS_BASIC_INFORMATION pbi = {0};
NTSTATUS status = NtQueryInformationProcess(hProcess, ProcessBasicInformation, &pbi, sizeof(pbi), NULL);
if(status != 0)
{
printf("Error ProcessBasicInformation (0x%8X)\n", status);
}
printf("PEB: %p\n", pbi.PebBaseAddress);
// find the process parameters
char *processParamsOffset = (char*)pbi.PebBaseAddress + 0x20; // hard coded offset for x64 apps
char *processParameters = NULL;
if(ReadProcessMemory(hProcess, processParamsOffset, &processParameters, sizeof(processParameters), NULL))
{
printf("UserProcessParameters: %p\n", processParameters);
}
else
{
printf("Error ReadProcessMemory (%u)\n", GetLastError());
}
// find the address to the environment table
char *environmentOffset = processParameters + 0x80; // hard coded offset for x64 apps
char *environment = NULL;
ReadProcessMemory(hProcess, environmentOffset, &environment, sizeof(environment), NULL);
printf("environment: %p\n", environment);
// copy the environment table into our own memory for scanning
wchar_t *localEnvBlock = new wchar_t[64*1024];
ReadProcessMemory(hProcess, environment, localEnvBlock, sizeof(wchar_t)*64*1024, NULL);
// find the variable to edit
wchar_t *found = NULL;
wchar_t *varOffset = localEnvBlock;
while(varOffset < localEnvBlock + 64*1024)
{
if(varOffset[0] == '\0')
{
// we reached the end
break;
}
if(wcsncmp(varOffset, L"ENVTEST=", 8) == 0)
{
found = varOffset;
break;
}
varOffset += wcslen(varOffset)+1;
}
// check to see if we found one
if(found)
{
size_t offset = (found - localEnvBlock) * sizeof(wchar_t);
printf("Offset: %Iu\n", offset);
// write a new version (if the size of the value changes then we have to rewrite the entire block)
if(!WriteProcessMemory(hProcess, environment + offset, L"ENVTEST=def", 12*sizeof(wchar_t), NULL))
{
printf("Error WriteProcessMemory (%u)\n", GetLastError());
}
}
// cleanup
delete[] localEnvBlock;
CloseHandle(hProcess);
return 0;
}
出力例：
>set ENVTEST=abc
>cppTest.exe 13796
Target PID: 13796
PEB: 000007FFFFFD3000
UserProcessParameters: 00000000004B2F30
environment: 000000000052E700
Offset: 1528
>set ENVTEST
ENVTEST=def
ノート
このアプローチは、セキュリティ制限にも限定されます。ターゲットがより高い標高またはより高いアカウント（SYSTEMなど）で実行されている場合、そのメモリを編集する権限がありません。
これを32ビットアプリに対して実行する場合、上記のハードコードされたオフセットはそれぞれ0x10および0x48に変更されます。これらのオフセットは、_PEBおよび_RTL_USER_PROCESS_PARAMETERS構造体をデバッガー（WinDbg dt _PEBやdt _RTL_USER_PROCESS_PARAMETERS）で
概念実証をOPに必要なものに変更するには、現在のシステムとユーザー環境変数（@tsadokの回答で文書化されているような）を列挙し、環境テーブル全体をターゲットプロセスのメモリに書き込むだけです。
編集：環境ブロックのサイズも_RTL_USER_PROCESS_PARAMETERS構造体に格納されますが、メモリはプロセスのヒープに割り当てられます。したがって、外部プロセスからは、サイズを変更して大きくすることができません。VirtualAllocExを使用して、ターゲットプロセスに追加のメモリを環境ストレージに割り当てることを試し、まったく新しいテーブルを設定して読み取ることができました。残念ながら、通常の方法で環境を変更しようとすると、アドレスがヒープを指していないため、クラッシュして書き込みが発生します（RtlSizeHeapでクラッシュします）。