10.3 调试事件转存进程内存

我们继续延申调试事件的话题，实现进程转存功能，进程转储功能是指通过调试API使获得了目标进程控制权的进程，将目标进程的内存中的数据完整地转存到本地磁盘上，对于加壳软件，通常会通过加密、压缩等手段来保护其代码和数据，使其不易被分析。在这种情况下，通过进程转储功能，可以将加壳程序的内存镜像完整地保存到本地，以便进行后续的分析。
在实现进程转储功能时，主要使用调试API和内存读写函数。具体实现方法包括：以调试方式启动目标进程，将其暂停在运行前的位置；让目标进程进入运行状态；使用ReadProcessMemory函数读取目标进程内存，并将结果保存到缓冲区；将缓冲区中的数据写入文件；关闭目标进程的调试状态。
首先老样子先来看OnException回调事件，当进程被断下时首先通过线程函数恢复该线程的状态，在进程被正确解码并运行起来时直接将该进程的EIP入口地址传递给MemDump();内存转存函数，实现转存功能；

1. void OnException(DEBUG_EVENT *pDebug, BYTE *bCode)
2. {
3.     CONTEXT context;
4.     DWORD dwNum;
5.     BYTE bTmp;
7.     // 打开当前进程与线程
8.     HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pDebug->dwProcessId);
9.     printf("[+] 当前打开进程句柄: %d 进程PID: %d \n", hProcess, pDebug->dwProcessId);
10.     HANDLE hThread = OpenThread(THREAD_ALL_ACCESS, FALSE, pDebug->dwThreadId);
11.     printf("[+] 当前打开线程句柄: %d 线程PPID: %d \n", hThread, pDebug->dwThreadId);
12.     // 暂停当前线程
13.     SuspendThread(hThread);
15.     // 读取出异常产生的首地址
16.     ReadProcessMemory(hProcess, pDebug->u.Exception.ExceptionRecord.ExceptionAddress, &bTmp, sizeof(BYTE), &dwNum);
17.     printf("[+] 当前异常产生地址为: 0x%08X \n", pDebug->u.Exception.ExceptionRecord.ExceptionAddress);
19.     // 设置当前线程上下文，获取线程上下文
20.     context.ContextFlags = CONTEXT_FULL;
21.     GetThreadContext(hThread, &context);
23.     printf("[-] 恢复断点前: EAX = 0x%08X  EIP = 0x%08X \n", context.Eax, context.Eip);
24.     // 将刚才的CC断点取消，也就是回写原始的指令集
25.     WriteProcessMemory(hProcess, pDebug->u.Exception.ExceptionRecord.ExceptionAddress, bCode, sizeof(BYTE), &dwNum);
27.     // 当前EIP减一并设置线程上下文
28.     context.Eip--;
29.     SetThreadContext(hThread, &context);
30.     printf("[+] 恢复断点后: EAX = 0x%08X  EIP = 0x%08X \n", context.Eax, context.Eip);
31.     printf("[+] 获取到动态入口点: 0x%08x \n", pDebug->u.CreateProcessInfo.lpBaseOfImage);
32.     // 转储内存镜像
33.     MemDump(pDebug, context.Eip, (char *)"dump.exe");
34.     // 恢复线程
35.     ResumeThread(hThread);
36.     CloseHandle(hThread);
37.     CloseHandle(hProcess);
38. }

复制代码

MemDump函数中，首先通过调用CreateFile函数打开me32.szExePath路径也就是转存之前的文件，通过使用VirtualAlloc分配内存空间，分配大小是PE头中文件实际大小，接着OpenProcess打开正在运行的进程，并使用ReadProcessMemory读取文件的数据，此处读取的实在内存中的镜像数据，当读取后手动修正，文件的入口地址，及文件的对齐方式，接着定位PE节区数据，找到节区首地址，并循环将当前节区数据赋值到新文件缓存中，最后当一切准备就绪，通过使用WriteFile函数将转存后的文件写出到磁盘中；

1. void MemDump(DEBUG_EVENT *pDe, DWORD dwEntryPoint, char *DumpFileName)
2. {
3.     // 得到当前需要操作的进程PID
4.     DWORD dwPid = pDe->dwProcessId;
5.     MODULEENTRY32 me32;
7.     // 对系统进程拍摄快照
8.     HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, dwPid);
10.     me32.dwSize = sizeof(MODULEENTRY32);
11.     // 得到第一个模块句柄,第一个模块句柄也就是程序的本体
12.     BOOL bRet = Module32First(hSnap, &me32);
13.     printf("[+] 当前转储原程序路径: %s \n", me32.szExePath);
15.     // 打开源文件,也就是dump之前的文件
16.     HANDLE hFile = CreateFile(me32.szExePath, GENERIC_READ, FILE_SHARE_READ, 0, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, 0);
17.     if (hFile == INVALID_HANDLE_VALUE)
18.         exit(0);
20.     // 判断PE文件的有效性
21.     IMAGE_DOS_HEADER imgDos = { 0 };
22.     IMAGE_NT_HEADERS imgNt = { 0 };
24.     DWORD dwReadNum = 0;
26.     // 读入当前内存程序的DOS头结构
27.     ReadFile(hFile, &imgDos, sizeof(IMAGE_DOS_HEADER), &dwReadNum, NULL);
28.     // 判断是否是一个合格的DOS头
29.     if (imgDos.e_magic != IMAGE_DOS_SIGNATURE)
30.         return;
31.     // 设置文件指针到NT头上
32.     SetFilePointer(hFile, imgDos.e_lfanew, 0, FILE_BEGIN);
33.     ReadFile(hFile, &imgNt, sizeof(IMAGE_NT_HEADERS), &dwReadNum, NULL);
34.     // 判断是否是合格的NT头
35.     if (imgNt.Signature != IMAGE_NT_SIGNATURE)
36.         return;
38.     // 得到EXE文件的大小
39.     DWORD BaseSize = me32.modBaseSize;
40.     printf("[+] 当前内存文件大小: %d --> NT结构原始大小: %d 一致性检测: True \n", BaseSize, imgNt.OptionalHeader.SizeOfImage);
42.     // 如果PE头中的大小大于实际内存大小，则以PE头中大小为模板
43.     if (imgNt.OptionalHeader.SizeOfImage > BaseSize)
44.     {
45.         BaseSize = imgNt.OptionalHeader.SizeOfImage;
46.     }
48.     // 分配内存空间，分配大小是PE头中文件实际大小，并打开进程
49.     LPVOID pBase = VirtualAlloc(NULL, BaseSize, MEM_COMMIT, PAGE_READWRITE);
50.     printf("[+] 正在分配转储空间 句柄: %d \n", pBase);
52.     HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwPid);
54.     // 读取文件的数据，此处读取的实在内存中的镜像数据
55.     bRet = ReadProcessMemory(hProcess, me32.modBaseAddr, pBase, me32.modBaseSize, NULL);
57.     // 判断PDOS头的有效性
58.     PIMAGE_DOS_HEADER pDos = (PIMAGE_DOS_HEADER)pBase;
59.     if (pDos->e_magic != IMAGE_DOS_SIGNATURE)
60.         return;
62.     // 计算出NT头数据
63.     PIMAGE_NT_HEADERS pNt = (PIMAGE_NT_HEADERS)(pDos->e_lfanew + (PBYTE)pBase);
64.     if (pNt->Signature != IMAGE_NT_SIGNATURE)
65.         return;
67.     // 设置文件的入口地址
68.     pNt->OptionalHeader.AddressOfEntryPoint = dwEntryPoint - pNt->OptionalHeader.ImageBase;
69.     printf("[*] 正在设置Dump文件相对RVA入口地址: 0x%08X \n", pNt->OptionalHeader.AddressOfEntryPoint);
71.     // 设置文件的对齐方式
72.     pNt->OptionalHeader.FileAlignment = 0x1000;
73.     printf("[*] 正在设置Dump文件的对齐值: %d \n", pNt->OptionalHeader.FileAlignment);
75.     // 找到节区首地址,并循环将当前节区数据赋值到新文件缓存中
76.     PIMAGE_SECTION_HEADER pSec = (PIMAGE_SECTION_HEADER)((PBYTE)&pNt->OptionalHeader + pNt->FileHeader.SizeOfOptionalHeader);
77.     for (int i = 0; i < pNt->FileHeader.NumberOfSections; i++)
78.     {
79.         pSec->PointerToRawData = pSec->VirtualAddress;
80.         printf("[+] 正在将虚拟地址: 0x%08X --> 设置到文件地址: 0x%08X \n", pSec->VirtualAddress, pSec->PointerToRawData);
81.         pSec->SizeOfRawData = pSec->Misc.VirtualSize;
82.         printf("[+] 正在将虚拟大小: %d --> 设置到文件大小: %d \n", pSec->Misc.VirtualSize, pSec->SizeOfRawData);
83.         pSec++;
84.     }
85.     CloseHandle(hFile);
87.     // 打开转储后的文件.
88.     hFile = CreateFile(DumpFileName, GENERIC_WRITE, FILE_SHARE_READ, 0, CREATE_ALWAYS, FILE_ATTRIBUTE_NORMAL, 0);
89.     if (hFile == INVALID_HANDLE_VALUE)
90.         exit(0);
91.     printf("[*] 转储 %s 文件到本地 \n", DumpFileName);
93.     DWORD dwWriteNum = 0;
95.     // 将读取的数据写入到文件
96.     bRet = WriteFile(hFile, pBase, me32.modBaseSize, &dwWriteNum, NULL);
97.     if (dwWriteNum != me32.modBaseSize || FALSE == bRet)
98.         printf("写入错误 !");
99.     // 关闭于释放资源
100.     CloseHandle(hFile);
101.     VirtualFree(pBase, me32.modBaseSize, MEM_RELEASE);
102.     CloseHandle(hProcess);
103.     CloseHandle(hSnap);
104. }

复制代码

读者可自行运行这段程序，当程序运行后即可将指定的一个文件内存数据完整的转存到磁盘中，输出效果如下图所示；

本文作者： 王瑞
本文链接： https://www.lyshark.com/post/5e2f7b11.html
版权声明： 本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！