Windows驱动开发：取进程模块的函数地址源码

ytn2001

在笔者上一篇文章《Windows驱动开发：内核取应用层模块基地址》中简单为大家介绍了如何通过遍历PLIST_ENTRY32链表的方式获取到32位应用程序中特定模块的基地址，由于是入门系列所以并没有封装实现太过于通用的获取函数，本章将继续延申这个话题，并依次实现通用版GetUserModuleBaseAddress()取远程进程中指定模块的基址和GetModuleExportAddress()取远程进程中特定模块中的函数地址，此类功能也是各类安全工具中常用的代码片段。

首先封装一个lyshark.h头文件，此类头文件中的定义都是微软官方定义好的规范，如果您想获取该结构的详细说明文档请参阅微软官方，此处不做过多的介绍。

1. // 署名权
   
2. // right to sign one's name on a piece of work
   
3. // PowerBy: LyShark
   
4. // Email: me@lyshark.com
   
5. 
   
6. #include <ntifs.h>
   
7. #include <ntimage.h>
   
8. #include <ntstrsafe.h>
   
9. 
   
10. // 导出未导出函数
    
11. NTKERNELAPI PPEB NTAPI PsGetProcessPeb(IN PEPROCESS Process);
    
12. NTKERNELAPI PVOID NTAPI PsGetProcessWow64Process(IN PEPROCESS Process);
    
13. 
    
14. typedef struct _PEB32
    
15. {
    
16.    
    
17.   UCHAR InheritedAddressSpace;
    
18.   UCHAR ReadImageFileExecOptions;
    
19.   UCHAR BeingDebugged;
    
20.   UCHAR BitField;
    
21.   ULONG Mutant;
    
22.   ULONG ImageBaseAddress;
    
23.   ULONG Ldr;
    
24.   ULONG ProcessParameters;
    
25.   ULONG SubSystemData;
    
26.   ULONG ProcessHeap;
    
27.   ULONG FastPebLock;
    
28.   ULONG AtlThunkSListPtr;
    
29.   ULONG IFEOKey;
    
30.   ULONG CrossProcessFlags;
    
31.   ULONG UserSharedInfoPtr;
    
32.   ULONG SystemReserved;
    
33.   ULONG AtlThunkSListPtr32;
    
34.   ULONG ApiSetMap;
    
35. } PEB32, *PPEB32;
    
36. 
    
37. typedef struct _PEB_LDR_DATA
    
38. {
    
39.    
    
40.   ULONG Length;
    
41.   UCHAR Initialized;
    
42.   PVOID SsHandle;
    
43.   LIST_ENTRY InLoadOrderModuleList;
    
44.   LIST_ENTRY InMemoryOrderModuleList;
    
45.   LIST_ENTRY InInitializationOrderModuleList;
    
46. } PEB_LDR_DATA, *PPEB_LDR_DATA;
    
47. 
    
48. typedef struct _PEB
    
49. {
    
50.    
    
51.   UCHAR InheritedAddressSpace;
    
52.   UCHAR ReadImageFileExecOptions;
    
53.   UCHAR BeingDebugged;
    
54.   UCHAR BitField;
    
55.   PVOID Mutant;
    
56.   PVOID ImageBaseAddress;
    
57.   PPEB_LDR_DATA Ldr;
    
58.   PVOID ProcessParameters;
    
59.   PVOID SubSystemData;
    
60.   PVOID ProcessHeap;
    
61.   PVOID FastPebLock;
    
62.   PVOID AtlThunkSListPtr;
    
63.   PVOID IFEOKey;
    
64.   PVOID CrossProcessFlags;
    
65.   PVOID KernelCallbackTable;
    
66.   ULONG SystemReserved;
    
67.   ULONG AtlThunkSListPtr32;
    
68.   PVOID ApiSetMap;
    
69. } PEB, *PPEB;
    
70. 
    
71. typedef struct _PEB_LDR_DATA32
    
72. {
    
73.    
    
74.   ULONG Length;
    
75.   UCHAR Initialized;
    
76.   ULONG SsHandle;
    
77.   LIST_ENTRY32 InLoadOrderModuleList;
    
78.   LIST_ENTRY32 InMemoryOrderModuleList;
    
79.   LIST_ENTRY32 InInitializationOrderModuleList;
    
80. } PEB_LDR_DATA32, *PPEB_LDR_DATA32;
    
81. 
    
82. typedef struct _LDR_DATA_TABLE_ENTRY32
    
83. {
    
84.    
    
85.   LIST_ENTRY32 InLoadOrderLinks;
    
86.   LIST_ENTRY32 InMemoryOrderLinks;
    
87.   LIST_ENTRY32 InInitializationOrderLinks;
    
88.   ULONG DllBase;
    
89.   ULONG EntryPoint;
    
90.   ULONG SizeOfImage;
    
91.   UNICODE_STRING32 FullDllName;
    
92.   UNICODE_STRING32 BaseDllName;
    
93.   ULONG Flags;
    
94.   USHORT LoadCount;
    
95.   USHORT TlsIndex;
    
96.   LIST_ENTRY32 HashLinks;
    
97.   ULONG TimeDateStamp;
    
98. } LDR_DATA_TABLE_ENTRY32, *PLDR_DATA_TABLE_ENTRY32;
    
99. 
    
100. typedef struct _LDR_DATA_TABLE_ENTRY
     
101. {
     
102.    
     
103.   LIST_ENTRY InLoadOrderLinks;
     
104.   LIST_ENTRY InMemoryOrderLinks;
     
105.   LIST_ENTRY InInitializationOrderLinks;
     
106.   PVOID DllBase;
     
107.   PVOID EntryPoint;
     
108.   ULONG SizeOfImage;
     
109.   UNICODE_STRING FullDllName;
     
110.   UNICODE_STRING BaseDllName;
     
111.   ULONG Flags;
     
112.   USHORT LoadCount;
     
113.   USHORT TlsIndex;
     
114.   LIST_ENTRY HashLinks;
     
115.   ULONG TimeDateStamp;
     
116. } LDR_DATA_TABLE_ENTRY, *PLDR_DATA_TABLE_ENTRY;

复制代码

游客，如果您要查看本帖隐藏内容请回复