驱动开发：PE导出函数与RVA转换

梦见你的名字  金牌会员 | 2023-6-7 10:43:33 | 显示全部楼层 | 阅读模式
打印 上一主题 下一主题
楼主

主题 866|帖子 866|积分 2598

在笔者上篇文章《驱动开发：内核扫描SSDT挂钩状态》中简单介绍了如何扫描被挂钩的SSDT函数，并简单介绍了如何解析导出表，本章将继续延申PE导出表的解析，实现一系列灵活的解析如通过传入函数名解析出函数的RVA偏移，ID索引，Index下标等参数，并将其封装为可直接使用的函数，以在后期需要时可以被直接引用，同样为了节约篇幅本章中的LoadKernelFile()内存映射函数如需要使用请去前一篇文章中自行摘取。
首先实现GetRvaFromModuleName()函数，当用户传入参数后自动将函数名解析为对应的RVA偏移或Index下标索引值，该函数接收三个参数传递，分别是wzFileName模块名，FunctionName所在模块内的函数名，Flag标志参数，函数输出ULONG64类型的数据。
  1. // 署名权
  2. // right to sign one's name on a piece of work
  3. // PowerBy: LyShark
  4. // Email: me@lyshark.com
  6. // 从指定模块中得到特定函数的RVA或相对序号相对偏移
  7. ULONG64 GetRvaFromModuleName(WCHAR *wzFileName, UCHAR *FunctionName, INT Flag)
  8. {
  9.         // 加载内核模块
  10.         PVOID BaseAddress = LoadKernelFile(wzFileName);
  12.         // 取出导出表
  13.         PIMAGE_DOS_HEADER pDosHeader;
  14.         PIMAGE_NT_HEADERS pNtHeaders;
  15.         PIMAGE_SECTION_HEADER pSectionHeader;
  16.         ULONGLONG FileOffset;
  17.         PIMAGE_EXPORT_DIRECTORY pExportDirectory;
  19.         // DLL内存数据转成DOS头结构
  20.         pDosHeader = (PIMAGE_DOS_HEADER)BaseAddress;
  22.         // 取出PE头结构
  23.         pNtHeaders = (PIMAGE_NT_HEADERS)((ULONGLONG)BaseAddress + pDosHeader->e_lfanew);
  25.         // 判断PE头导出表是否为空
  26.         if (pNtHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress == 0)
  27.         {
  28.                 return 0;
  29.         }
  31.         // 取出导出表偏移
  32.         FileOffset = pNtHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress;
  34.         // 取出节头结构
  35.         pSectionHeader = (PIMAGE_SECTION_HEADER)((ULONGLONG)pNtHeaders + sizeof(IMAGE_NT_HEADERS));
  36.         PIMAGE_SECTION_HEADER pOldSectionHeader = pSectionHeader;
  38.         // 遍历节结构进行地址运算
  39.         for (UINT16 Index = 0; Index < pNtHeaders->FileHeader.NumberOfSections; Index++, pSectionHeader++)
  40.         {
  41.                 if (pSectionHeader->VirtualAddress <= FileOffset && FileOffset <= pSectionHeader->VirtualAddress + pSectionHeader->SizeOfRawData)
  42.                 {
  43.                         FileOffset = FileOffset - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;
  44.                 }
  45.         }
  47.         // 导出表地址
  48.         pExportDirectory = (PIMAGE_EXPORT_DIRECTORY)((ULONGLONG)BaseAddress + FileOffset);
  50.         // 取出导出表函数地址
  51.         PULONG AddressOfFunctions;
  52.         FileOffset = pExportDirectory->AddressOfFunctions;
  54.         // 遍历节结构进行地址运算
  55.         pSectionHeader = pOldSectionHeader;
  56.         for (UINT16 Index = 0; Index < pNtHeaders->FileHeader.NumberOfSections; Index++, pSectionHeader++)
  57.         {
  58.                 if (pSectionHeader->VirtualAddress <= FileOffset && FileOffset <= pSectionHeader->VirtualAddress + pSectionHeader->SizeOfRawData)
  59.                 {
  60.                         FileOffset = FileOffset - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;
  61.                 }
  62.         }
  63.         AddressOfFunctions = (PULONG)((ULONGLONG)BaseAddress + FileOffset);
  65.         // 取出导出表函数名字
  66.         PUSHORT AddressOfNameOrdinals;
  67.         FileOffset = pExportDirectory->AddressOfNameOrdinals;
  69.         // 遍历节结构进行地址运算
  70.         pSectionHeader = pOldSectionHeader;
  71.         for (UINT16 Index = 0; Index < pNtHeaders->FileHeader.NumberOfSections; Index++, pSectionHeader++)
  72.         {
  73.                 if (pSectionHeader->VirtualAddress <= FileOffset && FileOffset <= pSectionHeader->VirtualAddress + pSectionHeader->SizeOfRawData)
  74.                 {
  75.                         FileOffset = FileOffset - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;
  76.                 }
  77.         }
  78.         AddressOfNameOrdinals = (PUSHORT)((ULONGLONG)BaseAddress + FileOffset);
  80.         // 取出导出表函数序号
  81.         PULONG AddressOfNames;
  82.         FileOffset = pExportDirectory->AddressOfNames;
  84.         // 遍历节结构进行地址运算
  85.         pSectionHeader = pOldSectionHeader;
  86.         for (UINT16 Index = 0; Index < pNtHeaders->FileHeader.NumberOfSections; Index++, pSectionHeader++)
  87.         {
  88.                 if (pSectionHeader->VirtualAddress <= FileOffset && FileOffset <= pSectionHeader->VirtualAddress + pSectionHeader->SizeOfRawData)
  89.                 {
  90.                         FileOffset = FileOffset - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;
  91.                 }
  92.         }
  93.         AddressOfNames = (PULONG)((ULONGLONG)BaseAddress + FileOffset);
  95.         // 分析导出表
  96.         ULONG uOffset;
  97.         LPSTR FunName;
  98.         ULONG uAddressOfNames;
  99.         ULONG TargetOff = 0;
  101.         for (ULONG uIndex = 0; uIndex < pExportDirectory->NumberOfNames; uIndex++, AddressOfNames++, AddressOfNameOrdinals++)
  102.         {
  103.                 uAddressOfNames = *AddressOfNames;
  104.                 pSectionHeader = pOldSectionHeader;
  105.                 for (UINT16 Index = 0; Index < pNtHeaders->FileHeader.NumberOfSections; Index++, pSectionHeader++)
  106.                 {
  107.                         if (pSectionHeader->VirtualAddress <= uAddressOfNames && uAddressOfNames <= pSectionHeader->VirtualAddress + pSectionHeader->SizeOfRawData)
  108.                         {
  109.                                 uOffset = uAddressOfNames - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;
  110.                         }
  111.                 }
  112.                 FunName = (LPSTR)((ULONGLONG)BaseAddress + uOffset);
  114.                 // 如果找到则返回RVA
  115.                 if (!_stricmp((const char *)FunctionName, FunName))
  116.                 {
  117.                         // 等于1则返回RVA
  118.                         if (Flag == 1)
  119.                         {
  120.                                 TargetOff = (ULONG)AddressOfFunctions[*AddressOfNameOrdinals];
  121.                                 // DbgPrint("索引 [ %p ] 函数名 [ %s ] 相对RVA [ %p ] \n", *AddressOfNameOrdinals, FunName, TargetOff);
  122.                                 return TargetOff;
  123.                         }
  124.                         // 返回索引
  125.                         else if (Flag == 0)
  126.                         {
  127.                                 return *AddressOfNameOrdinals;
  128.                         }
  129.                 }
  130.         }
  132.         // 结束后释放内存
  133.         ExFreePoolWithTag(BaseAddress, (ULONG)"LyShark");
  134.         return 0;
  135. }
复制代码
调用该函数很容易，传入模块路径以及该模块内的函数名，解析出RVA地址或Index下标。
  1. NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
  2. {
  3.         // 函数分别传入 [模块路径,函数名,标志=1] 返回该导出函数的RVA
  4.         ULONG64 get_rva = GetRvaFromModuleName(L"\\SystemRoot\\system32\\ntoskrnl.exe", "NtReadFile", 1);
  5.         DbgPrint("NtReadFile RVA = %p \n", get_rva);
  7.         // 函数分别传入 [模块路径,函数名,标志=0] 返回该导出函数的ID下标
  8.         ULONG64 get_id = GetRvaFromModuleName(L"\\SystemRoot\\system32\\ntoskrnl.exe", "NtReadFile", 0);
  9.         DbgPrint("NtReadFile ID = %d \n", get_id);
  11.         Driver->DriverUnload = UnDriver;
  12.         return STATUS_SUCCESS;
  13. }
复制代码
编译并运行程序，分别获取到ntoskrnl.exe模块内NtReadFile函数的RVA,Index索引，调用效果如下；

第二个函数GetModuleNameFromRVA()则实现传入RVA或者函数Index序号，解析出函数名，具体实现方法与如上函数基本一致，仅仅只是在过滤时做了调整。
  1. // 署名权
  2. // right to sign one's name on a piece of work
  3. // PowerBy: LyShark
  4. // Email: me@lyshark.com
  6. // 根据传入的函数RVA或Index下标，获取该函数的函数名
  7. PCHAR GetModuleNameFromRVA(WCHAR *wzFileName, ULONG64 uRVA, INT Flag)
  8. {
  9.         // 加载内核模块
  10.         PVOID BaseAddress = LoadKernelFile(wzFileName);
  12.         // 取出导出表
  13.         PIMAGE_DOS_HEADER pDosHeader;
  14.         PIMAGE_NT_HEADERS pNtHeaders;
  15.         PIMAGE_SECTION_HEADER pSectionHeader;
  16.         ULONGLONG FileOffset;
  17.         PIMAGE_EXPORT_DIRECTORY pExportDirectory;
  19.         // DLL内存数据转成DOS头结构
  20.         pDosHeader = (PIMAGE_DOS_HEADER)BaseAddress;
  22.         // 取出PE头结构
  23.         pNtHeaders = (PIMAGE_NT_HEADERS)((ULONGLONG)BaseAddress + pDosHeader->e_lfanew);
  25.         // 判断PE头导出表是否为空
  26.         if (pNtHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress == 0)
  27.         {
  28.                 return 0;
  29.         }
  31.         // 取出导出表偏移
  32.         FileOffset = pNtHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress;
  34.         // 取出节头结构
  35.         pSectionHeader = (PIMAGE_SECTION_HEADER)((ULONGLONG)pNtHeaders + sizeof(IMAGE_NT_HEADERS));
  36.         PIMAGE_SECTION_HEADER pOldSectionHeader = pSectionHeader;
  38.         // 遍历节结构进行地址运算
  39.         for (UINT16 Index = 0; Index < pNtHeaders->FileHeader.NumberOfSections; Index++, pSectionHeader++)
  40.         {
  41.                 if (pSectionHeader->VirtualAddress <= FileOffset && FileOffset <= pSectionHeader->VirtualAddress + pSectionHeader->SizeOfRawData)
  42.                 {
  43.                         FileOffset = FileOffset - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;
  44.                 }
  45.         }
  47.         // 导出表地址
  48.         pExportDirectory = (PIMAGE_EXPORT_DIRECTORY)((ULONGLONG)BaseAddress + FileOffset);
  50.         // 取出导出表函数地址
  51.         PULONG AddressOfFunctions;
  52.         FileOffset = pExportDirectory->AddressOfFunctions;
  54.         // 遍历节结构进行地址运算
  55.         pSectionHeader = pOldSectionHeader;
  56.         for (UINT16 Index = 0; Index < pNtHeaders->FileHeader.NumberOfSections; Index++, pSectionHeader++)
  57.         {
  58.                 if (pSectionHeader->VirtualAddress <= FileOffset && FileOffset <= pSectionHeader->VirtualAddress + pSectionHeader->SizeOfRawData)
  59.                 {
  60.                         FileOffset = FileOffset - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;
  61.                 }
  62.         }
  63.         AddressOfFunctions = (PULONG)((ULONGLONG)BaseAddress + FileOffset);
  65.         // 取出导出表函数名字
  66.         PUSHORT AddressOfNameOrdinals;
  67.         FileOffset = pExportDirectory->AddressOfNameOrdinals;
  69.         // 遍历节结构进行地址运算
  70.         pSectionHeader = pOldSectionHeader;
  71.         for (UINT16 Index = 0; Index < pNtHeaders->FileHeader.NumberOfSections; Index++, pSectionHeader++)
  72.         {
  73.                 if (pSectionHeader->VirtualAddress <= FileOffset && FileOffset <= pSectionHeader->VirtualAddress + pSectionHeader->SizeOfRawData)
  74.                 {
  75.                         FileOffset = FileOffset - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;
  76.                 }
  77.         }
  78.         AddressOfNameOrdinals = (PUSHORT)((ULONGLONG)BaseAddress + FileOffset);
  80.         // 取出导出表函数序号
  81.         PULONG AddressOfNames;
  82.         FileOffset = pExportDirectory->AddressOfNames;
  84.         // 遍历节结构进行地址运算
  85.         pSectionHeader = pOldSectionHeader;
  86.         for (UINT16 Index = 0; Index < pNtHeaders->FileHeader.NumberOfSections; Index++, pSectionHeader++)
  87.         {
  88.                 if (pSectionHeader->VirtualAddress <= FileOffset && FileOffset <= pSectionHeader->VirtualAddress + pSectionHeader->SizeOfRawData)
  89.                 {
  90.                         FileOffset = FileOffset - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;
  91.                 }
  92.         }
  93.         AddressOfNames = (PULONG)((ULONGLONG)BaseAddress + FileOffset);
  95.         // 分析导出表
  96.         ULONG uOffset;
  97.         LPSTR FunName;
  98.         ULONG uAddressOfNames;
  99.         ULONG TargetOff = 0;
  101.         for (ULONG uIndex = 0; uIndex < pExportDirectory->NumberOfNames; uIndex++, AddressOfNames++, AddressOfNameOrdinals++)
  102.         {
  103.                 uAddressOfNames = *AddressOfNames;
  104.                 pSectionHeader = pOldSectionHeader;
  105.                 for (UINT16 Index = 0; Index < pNtHeaders->FileHeader.NumberOfSections; Index++, pSectionHeader++)
  106.                 {
  107.                         if (pSectionHeader->VirtualAddress <= uAddressOfNames && uAddressOfNames <= pSectionHeader->VirtualAddress + pSectionHeader->SizeOfRawData)
  108.                         {
  109.                                 uOffset = uAddressOfNames - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData;
  110.                         }
  111.                 }
  113.                 FunName = (LPSTR)((ULONGLONG)BaseAddress + uOffset);
  114.                 TargetOff = (ULONG)AddressOfFunctions[*AddressOfNameOrdinals];
  116.                 // 等于1则通过RVA返回函数名
  117.                 if (Flag == 1)
  118.                 {
  119.                         if (uRVA == TargetOff)
  120.                         {
  121.                                 return FunName;
  122.                         }
  123.                 }
  124.                 // 返回索引
  125.                 else if (Flag == 0)
  126.                 {
  127.                         if (uRVA == *AddressOfNameOrdinals)
  128.                         {
  129.                                 return FunName;
  130.                         }
  131.                 }
  132.         }
  134.         // 结束后释放内存
  135.         ExFreePoolWithTag(BaseAddress, (ULONG)"LyShark");
  136.         return "None";
  137. }
复制代码
调用GetModuleNameFromRVA()并传入相应的RVA偏移或Index下标。
  1. NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
  2. {
  3.         DbgPrint("hello lyshark.com \n");
  5.         PCHAR function_name;
  7.         // 传入函数RVA得到函数名
  8.         function_name = GetModuleNameFromRVA(L"\\SystemRoot\\system32\\ntoskrnl.exe", 0x5e5220, 1);
  9.         DbgPrint("根据RVA得到函数名 = %s \n", function_name);
  11.         // 传入函数下标得到函数名
  12.         function_name = GetModuleNameFromRVA(L"\\SystemRoot\\system32\\ntoskrnl.exe", 1472, 0);
  13.         DbgPrint("根据Index得到函数名 = %s \n", function_name);
  15.         Driver->DriverUnload = UnDriver;
  16.         return STATUS_SUCCESS;
  17. }
复制代码
编译并运行程序，调用后分别获取到RVA=0x5e5220或Index=1472的函数名；


免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有账号？立即注册

x
回复

使用道具 举报

0 个回复

倒序浏览
返回列表

快速回复

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 or 立即注册

本版积分规则

梦见你的名字

金牌会员
这个人很懒什么都没写!

楼主热帖

标签云

存储 服务器
微信订阅号
微信服务号
微信客服
小程序
H5
关于我们 商务合作 网站地图
©Copyright 2022-2024 杭州祥升科技有限公司 版权所有 浙ICP备20004199号
快速回复 返回顶部 返回列表