WinDBG詳解進程初始化dll是如何載入的

来源:https://www.cnblogs.com/huangxincheng/archive/2022/11/09/16873561.html
-Advertisement-
Play Games

一:背景 1.講故事 有朋友咨詢個問題,他每次在調試 WinDbg 的時候,進程初始化斷點之前都會有一些 dll 載入到進程中,比如下麵這樣: Microsoft (R) Windows Debugger Version 10.0.25200.1003 X86 Copyright (c) Micro ...


一:背景

1.講故事

有朋友咨詢個問題,他每次在調試 WinDbg 的時候,進程初始化斷點之前都會有一些 dll 載入到進程中,比如下麵這樣:


Microsoft (R) Windows Debugger Version 10.0.25200.1003 X86
Copyright (c) Microsoft Corporation. All rights reserved.

CommandLine: D:\net6\ConsoleApp1\Debug\ConsoleApplication3.exe

************* Path validation summary **************
Response                         Time (ms)     Location
Deferred                                       srv*c:\mysymbols*https://msdl.microsoft.com/download/symbols
Symbol search path is: srv*c:\mysymbols*https://msdl.microsoft.com/download/symbols
Executable search path is: 
ModLoad: 00400000 0041f000   ConsoleApplication3.exe
ModLoad: 774b0000 77653000   ntdll.dll
ModLoad: 753a0000 75490000   C:\Windows\SysWOW64\KERNEL32.DLL
ModLoad: 75900000 75b14000   C:\Windows\SysWOW64\KERNELBASE.dll
ModLoad: 79bc0000 79d36000   C:\Windows\SysWOW64\ucrtbased.dll
ModLoad: 79ba0000 79bbe000   C:\Windows\SysWOW64\VCRUNTIME140D.dll
(44c.4b0c): Break instruction exception - code 80000003 (first chance)
eax=00000000 ebx=00000000 ecx=afe00000 edx=00000000 esi=774c1ff4 edi=774c25bc
eip=77561a42 esp=0019fa20 ebp=0019fa4c iopl=0         nv up ei pl zr na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
ntdll!LdrpDoDebuggerBreak+0x2b:
77561a42 cc              int     3

問是否可以用 WinDbg 解讀下內部運作原理,哈哈,其實要瞭解運作原理,一定要熟知 PE 頭,那這篇就安排上。

二:理解 PE 頭結構

1. 測試代碼

為了方便講述,先上一段測試代碼,這裡故意載入 combase.dll 是為了提取 PE 中的某些數據結構,代碼如下:


#include <iostream>
#include <Windows.h>

int main(int argc, char* argv[]) {

	LoadLibrary(L"combase.dll");

	getchar();
}

其實你仔細想一想也能知道,既然能做到初始化載入,必然在 PE 頭上藏了什麼東西,這些東西讓 Windows 載入器可以順利載入諸如 ntdll.dll, KERNEL32.dll 等等,接下來一起觀察下。

2. 可視化觀察 PE 頭

要想可視化觀察 PE 頭,工具有很多,這裡使用 PPEE 工具,截圖如下:

從圖中可以看到,其實初始化載入什麼,由可選頭中的 DIRECTORY_ENTRY_IMPORT 數據目錄項決定,哪這裡包含了哪些初始化 dll 呢? 可以選中右邊的 DIRECTORY_ENTRY_IMPORT 項即可,如下圖所示:

肯定有朋友說,WinDbg 上顯示的是 5 個,你這裡才 3 個,還有 2 個為什麼沒有? 很簡單,多餘的 ntdll.dllKERNELBASE.dll 必然是依賴項哈。

3. 用 WinDbg 深入探究

玩 WinDbg 都喜歡刨根問底,拿可視化 PPEE 肯定忽悠不過去,那好吧,我們用 C 中的結構體去解剖它。

  1. DOS Header 節

這一塊信息在源碼中是用 ntdll!_IMAGE_DOS_HEADER 結構來承載的,可以用 dt 輸出,起始點就是我們的 ConsoleApplication3.dll 在進程的首位置,即: 0x400000


0:000> dt 0x400000 _IMAGE_DOS_HEADER 
ConsoleApplication3!_IMAGE_DOS_HEADER
   +0x000 e_magic          : 0x5a4d
   +0x002 e_cblp           : 0x90
   +0x004 e_cp             : 3
   ...
   +0x024 e_oemid          : 0
   +0x026 e_oeminfo        : 0
   +0x028 e_res2           : [10] 0
   +0x03c e_lfanew         : 0n232

  1. NT Header 節

接下來就是 NT Header 節,它在源碼中是由 _IMAGE_NT_HEADERS 結構來承載的,起始位置的偏移已經保存在上面的 e_lfanew 欄位中,即 0n232


0:000> dt 0x400000+0n232 _IMAGE_NT_HEADERS
ConsoleApplication3!_IMAGE_NT_HEADERS
   +0x000 Signature        : 0x4550
   +0x004 FileHeader       : _IMAGE_FILE_HEADER
   +0x018 OptionalHeader   : _IMAGE_OPTIONAL_HEADER

  1. _IMAGE_DATA_DIRECTORY

在 PPEE 的第一張截圖中,我們查看的是 Data Directorys 數組中的第二項 DIRECTORY_ENTRY_IMPORT 內容,它裡面定義了我們需要初始化導入的 dll,我們可以用 dt r3 展開一下,然後一直點點點就好了,簡化後如下:


0:000> dt -r3 0x400000+0n232 _IMAGE_NT_HEADERS
ConsoleApplication3!_IMAGE_NT_HEADERS
   +0x000 Signature        : 0x4550
   +0x004 FileHeader       : _IMAGE_FILE_HEADER
      +0x000 Machine          : 0x14c
      ...
      +0x012 Characteristics  : 0x103
   +0x018 OptionalHeader   : _IMAGE_OPTIONAL_HEADER
      +0x000 Magic            : 0x10b
      +0x002 MajorLinkerVersion : 0xe ''
      ...
      +0x05c NumberOfRvaAndSizes : 0x10
      +0x060 DataDirectory    : [16] _IMAGE_DATA_DIRECTORY
         +0x000 VirtualAddress   : 0
         +0x004 Size             : 0
0:000> dx -r1 (*((ConsoleApplication3!_IMAGE_DATA_DIRECTORY (*)[16])0x400160))
(*((ConsoleApplication3!_IMAGE_DATA_DIRECTORY (*)[16])0x400160))                 [Type: _IMAGE_DATA_DIRECTORY [16]]
    [0]              [Type: _IMAGE_DATA_DIRECTORY]
    [1]              [Type: _IMAGE_DATA_DIRECTORY]
    [2]              [Type: _IMAGE_DATA_DIRECTORY]
    ...
    [15]             [Type: _IMAGE_DATA_DIRECTORY]

0:000> dx -r1 (*((ConsoleApplication3!_IMAGE_DATA_DIRECTORY *)0x400168))
(*((ConsoleApplication3!_IMAGE_DATA_DIRECTORY *)0x400168))                 [Type: _IMAGE_DATA_DIRECTORY]
    [+0x000] VirtualAddress   : 0x1b1cc [Type: unsigned long]
    [+0x004] Size             : 0x50 [Type: unsigned long]

從輸出的 VirtualAddress=0x1b1cc 中可以看到,我們 PPEE 截圖二中的 DIRECTORY_ENTRY_IMPORT 真實內容是在偏移 0x1b1cc 處,它是一個 combase!_IMAGE_IMPORT_DESCRIPTOR 結構體,輸出如下:


0:005> dt 0x400000+0x1b1cc combase!_IMAGE_IMPORT_DESCRIPTOR
   +0x000 Characteristics  : 0x1b21c
   +0x000 OriginalFirstThunk : 0x1b21c
   +0x004 TimeDateStamp    : 0
   +0x008 ForwarderChain   : 0
   +0x00c Name             : 0x1b40c
   +0x010 FirstThunk       : 0x1b000

到這裡就很關鍵了,涉及到如下幾點信息:

  • 載入的 dll 名字是什麼?

可以從 Name 欄位提取,參考如下代碼:


0:005> da 0x400000+0x1b40c
0041b40c  "KERNEL32.dll"

  • 載入的 方法名 是什麼?

這需要提取 OriginalFirstThunk 欄位,這裡是一個 _IMAGE_IMPORT_BY_NAME類型的指針數組,代碼如下:


0:005> dp 0x400000+0x1b21c
0041b21c  0001b3e8 0001b3fc 0001b954 0001b942
0041b22c  0001b934 0001b924 0001b912 0001b906
0041b23c  0001b8fa 0001b8ea 0001b8d6 0001b8ba
...

0:005> dt 0x400000+0x0001b3e8 combase!_IMAGE_IMPORT_BY_NAME
   +0x000 Hint             : 0x382
   +0x002 Name             : [1]  "I"

0:005> da 0x400000+0x0001b3e8+0x2
0041b3ea  "IsDebuggerPresent"

結合上面的輸出,我們知道 IsDebuggerPresent() 是屬於 KERNEL32.dll 下的,有了這兩點信息,Windows 載入器就可以用 LoadLibraryGetProcAddress 方法將其載入到進程中了,轉化為 C 代碼大概是這樣的。


typedef BOOL(CALLBACK* DeubbgerFunc)();

int main(int   argc, char* argv[])
{
	HMODULE hModule = LoadLibrary(L"KERNEL32.dll");

	DeubbgerFunc func = (DeubbgerFunc)GetProcAddress(hModule, "IsDebuggerPresent");

	BOOL b= func();
}

  • func 函數地址會保存嗎?

當然會保存了,會放在 _IMAGE_IMPORT_DESCRIPTOR 結構下的 FirstThunk 欄位中,這是一個函數地址的指針數組,可以用 dds 觀察。


0:005> dt 0x400000+0x1b1cc combase!_IMAGE_IMPORT_DESCRIPTOR
   +0x000 Characteristics  : 0x1b21c
   +0x000 OriginalFirstThunk : 0x1b21c
   +0x004 TimeDateStamp    : 0
   +0x008 ForwarderChain   : 0
   +0x00c Name             : 0x1b40c
   +0x010 FirstThunk       : 0x1b000

0:005> dds 0x400000+0x1b000
0041b000  753c20d0 KERNEL32!IsDebuggerPresentStub
0041b004  753c16c0 KERNEL32!LoadLibraryWStub
0041b008  753c2e80 KERNEL32!GetCurrentProcess
0041b00c  753bf550 KERNEL32!GetProcAddressStub
0041b05c  753b9910 KERNEL32!TerminateProcessStub
...

還有一點要註意,如果你在代碼中使用 IsDebuggerPresent() 方法的話,它會從 0041b000 位置上取函數地址,參考如下彙編代碼:

三:總結

對初學者來說,搞懂這些還是有一定困難的,我在網上找了一份很好的參考圖,大家可以對照著這張圖理解,在此感謝作者。

  • INT 是 Windows 需要載入的函數名列表。
  • IAT 是存放 GetProcAddress 返回函數地址的列表。

您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • “心有所向,日復一日,必有精進” 前言: 想必大家看完我之前寫的搭建redis伺服器,大家都已經把redis搭建起來了吧~如果沒有搭建起來的小可愛請移步這裡哦~[從0到1搭建redis6](https://www.cnblogs.com/qsmm/p/16871488.html "從0到1搭建red ...
  • 文章有點長,我決定用半個小時來和你分享~😂 廢話不多說,上代碼。。。 基於Seata 1.5.2,項目中用 seata-spring-boot-starter 1. SeataDataSourceAutoConfiguration SeataDataSourceAutoConfiguration ...
  • 1、開發文檔 微信開發文檔:https://pay.weixin.qq.com/wiki/doc/api/jsapi.php?chapter=9_1 安全規範:https://pay.weixin.qq.com/wiki/doc/api/jsapi.php?chapter=4_3 1、簽名演算法 (簽 ...
  • 簡介: 命令模式,又稱之為動作模式或者事務模式,屬於行為型的設計模式。 將不同的請求封裝成不同的請求對象,以便使用不同的請求; 角色都會用飯館來舉例子: 命令下達者:顧客 命令接受者:服務員 命令本身: 菜單 命令執行者:廚師 適用場景: Laravel的事件調度機制有用到了命令模式。 想要解耦服務 ...
  • Java 基礎一 【註釋】 comment 對代碼進行解釋說明1.Java規範的註釋有3種單行註釋://多行註釋:/* */文檔註釋(java特有)2.單行註釋和多行註釋的作用:對所寫的程式進行解釋說明,增強可讀性。方便自己,方便別人。可以調試所寫的代碼3.特點單行註釋和多行註釋,註釋了的內容不參與 ...
  • RPC(Remote Procedure Call) 是 Hadoop 服務通信的關鍵庫,支撐上層分散式環境下複雜的進程間(Inter-Process Communication, IPC)通信邏輯,是分散式系統的基礎。允許運行於一臺電腦上的程式像調用本地方法一樣,調用另一臺電腦的子程式。由於 ...
  • 作為緩存系列專欄的第四篇文章,我們將在上一篇的基礎之上進行升華,一起思考如何構建一個完整且通用的本地緩存框架,併在過程中體會緩存實現的關鍵點與架構設計的思路。 ...
  • 2022年11月8日.NET 7正式發佈 .NET仍然是最快、最受歡迎、最值得信賴的平臺之一,其龐大的.NET軟體包生態系統包括33萬多個軟體包。 .NET 7為您的應用程式帶來了更高的性能和C# 11/F# 7、.NET MAUI、ASP.NET Core/Blazor、Web APIs、WinF ...
一周排行
    -Advertisement-
    Play Games
  • 下麵是一個標準的IDistributedCache用例: public class SomeService(IDistributedCache cache) { public async Task<SomeInformation> GetSomeInformationAsync (string na ...
  • 這個庫提供了在啟動期間實例化已註冊的單例,而不是在首次使用它時實例化。 單例通常在首次使用時創建,這可能會導致響應傳入請求的延遲高於平時。在註冊時創建實例有助於防止第一次Request請求的SLA 以往我們要在註冊的時候實例單例可能會這樣寫: //註冊: services.AddSingleton< ...
  • 最近公司的很多項目都要改單點登錄了,不過大部分都還沒敲定,目前立刻要做的就只有一個比較老的項目 先改一個試試手,主要目標就是最短最快實現功能 首先因為要保留原登錄方式,所以頁面上的改動就是在原來登錄頁面下加一個SSO登錄入口 用超鏈接寫的入口,頁面改造後如下圖: 其中超鏈接的 href="Staff ...
  • Like運算符很好用,特別是它所提供的其中*、?這兩種通配符,在Windows文件系統和各類項目中運用非常廣泛。 但Like運算符僅在VB中支持,在C#中,如何實現呢? 以下是關於LikeString的四種實現方式,其中第四種為Regex正則表達式實現,且在.NET Standard 2.0及以上平... ...
  • 一:背景 1. 講故事 前些天有位朋友找到我,說他們的程式記憶體會偶發性暴漲,自己分析了下是非托管記憶體問題,讓我幫忙看下怎麼回事?哈哈,看到這個dump我還是非常有興趣的,居然還有這種游戲幣自助機類型的程式,下次去大玩家看看他們出幣的機器後端是不是C#寫的?由於dump是linux上的程式,剛好win ...
  • 前言 大家好,我是老馬。很高興遇到你。 我們為 java 開發者實現了 java 版本的 nginx https://github.com/houbb/nginx4j 如果你想知道 servlet 如何處理的,可以參考我的另一個項目: 手寫從零實現簡易版 tomcat minicat 手寫 ngin ...
  • 上一次的介紹,主要圍繞如何統一去捕獲異常,以及為每一種異常添加自己的Mapper實現,並且我們知道,當在ExceptionMapper中返回非200的Response,不支持application/json的響應類型,而是寫死的text/plain類型。 Filter為二方包異常手動捕獲 參考:ht ...
  • 大家好,我是R哥。 今天分享一個爽飛了的面試輔導 case: 這個杭州兄弟空窗期 1 個月+,面試了 6 家公司 0 Offer,不知道問題出在哪,難道是杭州的 IT 崩盤了麽? 報名面試輔導後,經過一個多月的輔導打磨,現在成功入職某上市公司,漲薪 30%+,955 工作制,不咋加班,還不捲。 其他 ...
  • 引入依賴 <!--Freemarker wls--> <dependency> <groupId>org.freemarker</groupId> <artifactId>freemarker</artifactId> <version>2.3.30</version> </dependency> ...
  • 你應如何運行程式 互動式命令模式 開始一個互動式會話 一般是在操作系統命令行下輸入python,且不帶任何參數 系統路徑 如果沒有設置系統的PATH環境變數來包括Python的安裝路徑,可能需要機器上Python可執行文件的完整路徑來代替python 運行的位置:代碼位置 不要輸入的內容:提示符和註 ...