获取动态库中Windows API的地址(以ntdll.dll为例子)

我不是女神ヾ 2022-12-29 14:19 150阅读 0赞

一、任务  
打印Windows 2003中ntdll.dll的所有函数名及其地址。

二、流程  
1.获取ntdll.dll的基址  
(1)汇编代码

unsigned long addr;
        __asm{
        
            mov eax, fs:30h;
            mov eax, [eax+0ch];
            mov ebx, [eax+1ch];
            mov eax, [ebx+8];
            mov addr, eax;
        };

(2)解读  
①**mov eax, fs:30h;**  
此时，eax存储了当前进程PEB的首地址。

②**mov eax, \[eax+0ch\];**  
此时，eax存储了PEB\_LDR\_DATA的首地址；

③**mov ebx, \[eax+1ch\];**  
此时，ebx存储了InInitOrderModuleList的首地址。

④**mov eax, \[ebx+8\];**  
InInitOrderModuleList属于LIST\_ENTRY结构(可通俗理解为双链表结构)，每个节点表示一个LDR\_MODULE。  
首个LDR\_MODULE包含的是ntdll.dll，其Flink指向的LDR\_MODULE包含的是kernel32.dll。  
由LIST\_ENTRY结构可知，\[ebx+8\]的内容为ntdll.dll的首地址，存储于eax中。

> 那要得到kernel32.dll的首地址呢？  
> mov ebx, \[ebx\];  
> mov eax, \[ebx + 8\];

⑤**mov addr, eax;**  
把ntdll.dll的首地址存储于addr中。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 1]  
(2)验证正确性  
![在这里插入图片描述][20201223144926227.png]  
![在这里插入图片描述][20201223145006586.png]  
![在这里插入图片描述][2020122315272593.png]

> 此处的操作在之前的博文中讲过，不再赘述；如有需要，请查看：  
> [Win32的缓冲区溢出攻击(涉及用WinDbg分析 overflow函数的返回地址所在的地址与buffer首地址的距离 OFF\_SET)][Win32_WinDbg_ overflow_buffer_ OFF_SET]

2.获取ntdll.dll的API  
(1)源代码

#include <stdio.h>
    #include <stdlib.h>
    
    unsigned long GetNtdllFuncAddr()
    {
        
        unsigned long BaseAddrOfModule, NameOfModule;
        unsigned long AddressOfFunctions, Address0fNames, NumberOfFunctions;
    
        __asm {
        
            mov edx, fs:30h;
            mov	edx, [edx+0ch];
            mov edx, [edx+1ch];
            mov eax, [edx+8];
            mov BaseAddrOfModule,eax;
            mov ebx, eax;
            mov edx,[ebx+3ch];
            mov edx,[edx+ebx+78h];
            add edx,ebx;
            mov esi,edx;
            mov edx,[esi+0ch];
            add edx,ebx;
            mov NameOfModule,edx;
            mov edx, [esi + 14h];
            mov NumberOfFunctions, edx;
            mov edx,[esi+1ch];
            add edx,ebx;
            mov AddressOfFunctions,edx;
            mov edx,[esi+20h];
            add edx,ebx;
            mov Address0fNames,edx;
        }
    
        FILE * fp = fopen("C:\\work\\output.txt","w");
        fprintf(fp, "Name of Module:%s\n\tBaseAddr of Moudle=0x%p\n",
               (char *)NameOfModule, BaseAddrOfModule);
        fprintf(fp, "Number of Functions is %ld\n", NumberOfFunctions);
    
        for(int i = 0; i < NumberOfFunctions; i++) 
        {
        
             fprintf(fp, "第%d个Function:\n\tAddress=0x%p\n\tName=%s\n", i + 1,
                (BaseAddrOfModule + *((unsigned long *)(AddressOfFunctions) + i)),
                (char *)(BaseAddrOfModule + *((unsigned long *)(Address0fNames) + i)));
        }
    	fclose(fp);
    }
    
    void main(void)
    {
        
        GetNtdllFuncAddr();
    }

(2)其中的汇编代码解读  
1)获取ntdll.dll的基址(见"二、1.")  
![在这里插入图片描述][20201223191337226.png]

> 将ntdll.dll的基址存储在ebx中。

2)第2部分  
![在这里插入图片描述][20201223191433929.png]  
①从加载地址(ebx存储的地址)开始，内存映像(PE文件的内存映像)存放的是IMAGE\_DOS\_HEADER结果。(通俗理解，IMAGE\_DOS\_HEADER的首地址即加载地址)

②**mov edx, \[edx+3ch\];**  
即把e\_lfanew的值存储在edx中，它值为IMAGE\_NT\_HEADERS的偏移  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 2]  
③**mov edx, \[edx+ebx+78h\];**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 3]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 4]

> ①由上2张图可知，要指向DataDirectory，则edx + 18h + 60h = edx + 78h;  
> ②由于edx存储的是IMAGE\_NT\_HEADERS的偏移，故还需要加上基址，即ebx + edx + 78h指向的便是DataDirectory的首地址；

![在这里插入图片描述][20201223192340607.png]

> ③\[edx+ebx+78h\]便是DataDirectory\[0\], 即VirtualAddress，指向IMAGE\_EXPORT\_DIRECTORY。

④**add edx,ebx; mov esi,edx;**  
但凡是地址，都需要加上基址；完成④中的2条指令后，esi指向的便是IMAGE\_EXPORT\_DIRECTORY在内存中的首地址。

3)第3部分  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 5]

> 如下图所示:  
> ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 6]  
> 将NameOfModule, NumberOfFunctions, AddressOfFunctions, AddressOfNames读出并存储于变量中。

（3）对输出的一些解读  
![在这里插入图片描述][2020122319322399.png]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 7]

> ①图片来源博客地址将在“扩展阅读”中注明。  
> ②以AddressOfname为例，其指向**函数名字符串首地址**(RVA)构成的数组的首地址，即(unsigned long \*)(AddressOfNames)，+i表示**指向**下一个 RVA，故\*((unsigned long \*)(AddressOfNames) + i)表示的是所指向的第i个RVA的值，即函数名字符串的首地址。  
> ③只要是地址，就需要加上基址。

(4)结果  
![在这里插入图片描述][20201223193939282.png]  
![在这里插入图片描述][20201223193954519.png]  
三、扩展阅读  
1.[PE文件详解七：IMAGE\_EXPORT\_DIRECTORY STRUCT导出表(“二、2.(3)的图片来源”)][PE_IMAGE_EXPORT_DIRECTORY STRUCT_2._3]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70]: /images/20221120/e40da1cf18604799bb32074511f3790c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 1]: /images/20221120/fce1359ae7e94578a98d3348393d47ef.png
[20201223144926227.png]: /images/20221120/e90e939aafce4e8089d00c562abaeaac.png
[20201223145006586.png]: /images/20221120/c09fec783960454f84cc109f92250ed8.png
[2020122315272593.png]: /images/20221120/2ddd5d2eef9445c5ae23b58ade81365e.png
[Win32_WinDbg_ overflow_buffer_ OFF_SET]: https://blog.csdn.net/weixin_37477009/article/details/111171893
[20201223191337226.png]: /images/20221120/6651069747634d89bc1f97a596b42d98.png
[20201223191433929.png]: /images/20221120/0ef0a336aaf647bf9dfb4665fb251cf8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 2]: /images/20221120/901743ed96a048df95957fefe03bd607.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 3]: /images/20221120/06fcd7d8cbb34682b86cab85d7ce8aeb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 4]: /images/20221120/c36dcd06ae004bd3acda5a6cfdd52a8b.png
[20201223192340607.png]: /images/20221120/2e8ea54670814f869e6d07e1e36d1e1b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 5]: /images/20221120/ab6ad331fe5c4431a04280dacb34160e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 6]: /images/20221120/37869053998544bba8cded55b452a0da.png
[2020122319322399.png]: /images/20221120/736fb00eec124d2290a067eaa0f36d3c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 7]: /images/20221120/9fa211e55d2c48de984221575bdd23fc.png
[20201223193939282.png]: https://img-blog.csdnimg.cn/20201223193939282.png
[20201223193954519.png]: https://img-blog.csdnimg.cn/20201223193954519.png
[PE_IMAGE_EXPORT_DIRECTORY STRUCT_2._3]: https://www.cnblogs.com/qintangtao/archive/2013/01/11/2857191.html