詳解驅動開發中內核PE結構VA與FOA轉換

来源:https://www.cnblogs.com/huaweiyun/archive/2023/06/08/17466552.html
-Advertisement-
Play Games

摘要：本文將探索內核中解析PE文件的相關內容。 本文分享自華為雲社區《驅動開發：內核PE結構VA與FOA轉換》，作者： LyShark 。 本章將探索內核中解析PE文件的相關內容，PE文件中FOA與VA、RVA之間的轉換也是很重要的，所謂的FOA是文件中的地址，VA則是記憶體裝入後的虛擬地址，RVA是 ...


摘要：本文將探索內核中解析PE文件的相關內容。

本文分享自華為雲社區《驅動開發：內核PE結構VA與FOA轉換》，作者： LyShark 。

本章將探索內核中解析PE文件的相關內容，PE文件中FOA與VA、RVA之間的轉換也是很重要的，所謂的FOA是文件中的地址，VA則是記憶體裝入後的虛擬地址，RVA是記憶體基址與當前地址的相對偏移，本章還是需要用到封裝的KernelMapFile()映射函數，在映射後對其PE格式進行相應的解析，並實現轉換函數。

首先先來演示一下記憶體VA地址與FOA地址互相轉換的方式，通過使用WinHEX打開一個二進位文件，打開後我們只需要關註如下藍色註釋為映像建議裝入基址，黃色註釋為映像裝入後的RVA偏移。

通過上方的截圖結合PE文件結構圖我們可得知0000158B為映像裝入記憶體後的RVA偏移，緊隨其後的00400000則是映像的建議裝入基址，為什麼是建議而不是絕對？別急後面慢來來解釋。

通過上方的已知條件我們就可以計算出程式實際裝入記憶體後的入口地址了，公式如下：

VA(實際裝入地址) = ImageBase(基址) + RVA(偏移) => 00400000 + 0000158B = 0040158B

找到了程式的OEP以後，接著我們來判斷一下這個0040158B屬於那個節區，以.text節區為例，下圖我們通過觀察區段可知，第一處橙色位置00000B44 (節區尺寸)，第二處紫色位置00001000 (節區RVA)，第三處00000C00 (文件對齊尺寸)，第四處00000400 (文件中的偏移)，第五處60000020 (節區屬性)。

得到了上方text節的相關數據，我們就可以判斷程式的OEP到底落在了那個節區中，這裡以.text節為例子，計算公式如下：

虛擬地址開始位置：節區基地址 + 節區RVA => 00400000 + 00001000 = 00401000
虛擬地址結束位置：text節地址 + 節區尺寸 => 00401000 + 00000B44 = 00401B44

經過計算得知 .text 節所在區間（401000 - 401B44） 你的裝入VA地址0040158B只要在區間裡面就證明在本節區中，此處的VA地址是在401000 - 401B44區間內的，則說明它屬於.text節。

經過上面的公式計算我們知道了程式的OEP位置是落在了.text節，此時你興緻勃勃的打開x64DBG想去驗證一下公式是否計算正確不料，這地址根本不是400000開頭啊，這是什麼鬼？

上圖中出現的這種情況就是關於隨機基址的問題，在新版的VS編譯器上存在一個選項是否要啟用隨機基址(預設啟用)，至於這個隨機基址的作用，猜測可能是為了防止緩衝區溢出之類的爛七八糟的東西。

為了方便我們調試，我們需要手動幹掉它，其對應到PE文件中的結構為 IMAGE_NT_HEADERS -> IMAGE_OPTIONAL_HEADER -> DllCharacteristics 相對於PE頭的偏移為90位元組，只需要修改這個標誌即可，修改方式 x64：6081 改 2081 相對於 x86：4081 改 0081 以X86程式為例，修改後如下圖所示。

經過上面對標誌位的修改，程式再次載入就能夠停在0040158B的位置，也就是程式的OEP，接下來我們將通過公式計算出該OEP對應到文件中的位置。

.text(節首地址) = ImageBase + 節區RVA => 00400000 + 00001000 = 00401000
VA(虛擬地址) = ImageBase + RVA(偏移) => 00400000 + 0000158B = 0040158B
RVA(相對偏移) = VA - (.text節首地址) => 0040158B - 00401000 = 58B
FOA(文件偏移) = RVA + .text節對應到文件中的偏移 => 58B + 400 = 98B

經過公式的計算，我們找到了虛擬地址0040158B對應到文件中的位置是98B，通過WinHEX定位過去，即可看到OEP處的機器碼指令了。

接著我們來計算一下.text節區的結束地址，通過文件的偏移加上文件對齊尺寸即可得到.text節的結束地址400+C00= 1000，那麼我們主要就在文件偏移為(98B - 1000)在該區間中找空白的地方，此處我找到了在文件偏移為1000之前的位置有一段空白區域，如下圖：

接著我麽通過公式計算一下文件偏移為0xF43的位置，其對應到VA虛擬地址是多少，公式如下：

.text(節首地址) = ImageBase + 節區RVA => 00400000 + 00001000 = 00401000
VPK(實際大小) = (text節首地址 - ImageBase) - 實際偏移 => 401000-400000-400 = C00
VA(虛擬地址) = FOA(.text節) + ImageBase + VPK => F43+400000+C00 = 401B43

計算後直接X64DBG跳轉過去，我們從00401B44的位置向下全部填充為90(nop)，然後直接保存文件。

再次使用WinHEX查看文件偏移為0xF43的位置，會發現已經全部替換成了90指令，說明計算正確。

到此文件偏移與虛擬偏移的轉換就結束了，那麼這些功能該如何實現呢，接下來將以此實現這些轉換細節。

FOA轉換為VA: 首先來實現將FOA地址轉換為VA地址，這段代碼實現起來很簡單，如下所示，此處將dwFOA地址0x84EC00轉換為對應記憶體的虛擬地址。

// 署名權
// right to sign one's name on a piece of work
// PowerBy: LyShark
// Email: [email protected]
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
DbgPrint("hello lyshark.com \n");
NTSTATUS status = STATUS_SUCCESS;
HANDLE hFile = NULL;
HANDLE hSection = NULL;
PVOID pBaseAddress = NULL;
UNICODE_STRING FileName = { 0 };
// 初始化字元串
RtlInitUnicodeString(&FileName, L"\\??\\C:\\Windows\\System32\\ntoskrnl.exe");
// 記憶體映射文件
status = KernelMapFile(FileName, &hFile, &hSection, &pBaseAddress);
if (!NT_SUCCESS(status))
{
return 0;
}
// 獲取PE頭數據集
PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pBaseAddress;
PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((PUCHAR)pDosHeader + pDosHeader->e_lfanew);
PIMAGE_SECTION_HEADER pSection = IMAGE_FIRST_SECTION(pNtHeaders);
PIMAGE_FILE_HEADER pFileHeader = &pNtHeaders->FileHeader;
DWORD64 dwFOA = 0x84EC00;
DWORD64 ImageBase = pNtHeaders->OptionalHeader.ImageBase;
DWORD NumberOfSectinsCount = pNtHeaders->FileHeader.NumberOfSections;
DbgPrint("鏡像基址 = %p | 節表數量 = %d \n", ImageBase, NumberOfSectinsCount);
for (int each = 0; each < NumberOfSectinsCount; each++)
{
DWORD64 PointerRawStart = pSection[each].PointerToRawData;                                // 文件偏移開始位置
DWORD64 PointerRawEnds = pSection[each].PointerToRawData + pSection[each].SizeOfRawData;  // 文件偏移結束位置
// DbgPrint("文件開始偏移 = %p | 文件結束偏移 = %p \n", PointerRawStart, PointerRawEnds);
if (dwFOA >= PointerRawStart && dwFOA <= PointerRawEnds)
{
DWORD64 RVA = pSection[each].VirtualAddress + (dwFOA - pSection[each].PointerToRawData);     // 計算出RVA
DWORD64 VA = RVA + pNtHeaders->OptionalHeader.ImageBase;                                     // 計算出VA
DbgPrint("FOA偏移 [ %p ] --> 對應VA地址 [ %p ] \n", dwFOA, VA);
}
}
ZwUnmapViewOfSection(NtCurrentProcess(), pBaseAddress);
ZwClose(hSection);
ZwClose(hFile);
Driver->DriverUnload = UnDriver;
return STATUS_SUCCESS;
}

運行效果如下所示，此處之所以出現兩個結果是因為沒有及時返回，一般我們取第一個結果就是最準確的；

VA轉換為FOA: 將VA記憶體地址轉換為FOA文件偏移，代碼與如上基本保持一致。

// 署名權
// right to sign one's name on a piece of work
// PowerBy: LyShark
// Email: [email protected]
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
DbgPrint("hello lyshark.com \n");
NTSTATUS status = STATUS_SUCCESS;
HANDLE hFile = NULL;
HANDLE hSection = NULL;
PVOID pBaseAddress = NULL;
UNICODE_STRING FileName = { 0 };
// 初始化字元串
RtlInitUnicodeString(&FileName, L"\\??\\C:\\Windows\\System32\\ntoskrnl.exe");
// 記憶體映射文件
status = KernelMapFile(FileName, &hFile, &hSection, &pBaseAddress);
if (!NT_SUCCESS(status))
{
return 0;
}
// 獲取PE頭數據集
PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pBaseAddress;
PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((PUCHAR)pDosHeader + pDosHeader->e_lfanew);
PIMAGE_SECTION_HEADER pSection = IMAGE_FIRST_SECTION(pNtHeaders);
PIMAGE_FILE_HEADER pFileHeader = &pNtHeaders->FileHeader;
DWORD64 dwVA = 0x00007FF6D3389200;
DWORD64 ImageBase = pNtHeaders->OptionalHeader.ImageBase;
DWORD NumberOfSectinsCount = pNtHeaders->FileHeader.NumberOfSections;
DbgPrint("鏡像基址 = %p | 節表數量 = %d \n", ImageBase, NumberOfSectinsCount);
for (DWORD each = 0; each < NumberOfSectinsCount; each++)
{
DWORD Section_Start = ImageBase + pSection[each].VirtualAddress;                                  // 獲取節的開始地址
DWORD Section_Ends = ImageBase + pSection[each].VirtualAddress + pSection[each].Misc.VirtualSize; // 獲取節的結束地址
DbgPrint("Section開始地址 = %p | Section結束地址 = %p \n", Section_Start, Section_Ends);
if (dwVA >= Section_Start && dwVA <= Section_Ends)
{
DWORD RVA = dwVA - pNtHeaders->OptionalHeader.ImageBase;                                    // 計算RVA
DWORD FOA = pSection[each].PointerToRawData + (RVA - pSection[each].VirtualAddress);       // 計算FOA

DbgPrint("VA偏移 [ %p ] --> 對應FOA地址 [ %p ] \n", dwVA, FOA);
}
}
ZwUnmapViewOfSection(NtCurrentProcess(), pBaseAddress);
ZwClose(hSection);
ZwClose(hFile);
Driver->DriverUnload = UnDriver;
return STATUS_SUCCESS;
}

運行效果如下所示，此處沒有出現想要的結果是因為我們當前的VA記憶體地址並非實際裝載地址，僅僅是PE磁碟中的地址，此處如果換成記憶體中的PE則可以提取出正確的結果；

RVA轉換為FOA: 將相對偏移地址轉換為FOA文件偏移地址，此處僅僅只是多了一步pNtHeaders->OptionalHeader.ImageBase + dwRVARVA轉換為VA的過程其轉換結果與VA轉FOA一致。

// 署名權
// right to sign one's name on a piece of work
// PowerBy: LyShark
// Email: [email protected]
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
DbgPrint("hello lyshark.com \n");
NTSTATUS status = STATUS_SUCCESS;
HANDLE hFile = NULL;
HANDLE hSection = NULL;
PVOID pBaseAddress = NULL;
UNICODE_STRING FileName = { 0 };
// 初始化字元串
RtlInitUnicodeString(&FileName, L"\\??\\C:\\Windows\\System32\\ntoskrnl.exe");
// 記憶體映射文件
status = KernelMapFile(FileName, &hFile, &hSection, &pBaseAddress);
if (!NT_SUCCESS(status))
{
return 0;
}
// 獲取PE頭數據集
PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pBaseAddress;
PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((PUCHAR)pDosHeader + pDosHeader->e_lfanew);
PIMAGE_SECTION_HEADER pSection = IMAGE_FIRST_SECTION(pNtHeaders);
PIMAGE_FILE_HEADER pFileHeader = &pNtHeaders->FileHeader;
DWORD64 dwRVA = 0x89200;
DWORD64 ImageBase = pNtHeaders->OptionalHeader.ImageBase;
DWORD NumberOfSectinsCount = pNtHeaders->FileHeader.NumberOfSections;
DbgPrint("鏡像基址 = %p | 節表數量 = %d \n", ImageBase, NumberOfSectinsCount);
for (DWORD each = 0; each < NumberOfSectinsCount; each++)
{
DWORD Section_Start = pSection[each].VirtualAddress;                                  // 計算RVA開始位置
DWORD Section_Ends = pSection[each].VirtualAddress + pSection[each].Misc.VirtualSize; // 計算RVA結束位置
if (dwRVA >= Section_Start && dwRVA <= Section_Ends)
{
DWORD VA = pNtHeaders->OptionalHeader.ImageBase + dwRVA;                                  // 得到VA地址
DWORD FOA = pSection[each].PointerToRawData + (dwRVA - pSection[each].VirtualAddress);    // 得到FOA
DbgPrint("RVA偏移 [ %p ] --> 對應FOA地址 [ %p ] \n", dwRVA, FOA);
}
}
ZwUnmapViewOfSection(NtCurrentProcess(), pBaseAddress);
ZwClose(hSection);
ZwClose(hFile);
Driver->DriverUnload = UnDriver;
return STATUS_SUCCESS;
}

運行效果如下所示；

 

點擊關註，第一時間瞭解華為雲新鮮技術~


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • VUE | Element組件庫的 el-collapse 標簽的用法
    Collapse 摺疊面板：通過摺疊面板收納內容區域。 1. 基礎用法 可以摺疊展開多個面板，面板之間互不影響。 示例代碼 <el-collapse v-model="activeNames" @change="handleChange"> <el-collapse-item title="一致性 ...
  • 記錄--7 個沙雕又帶有陷阱的 JS 面試題
    這裡給大家分享我在網上總結出來的一些知識，希望對大家有所幫助 為了保證的可讀性，本文采用意譯而非直譯。 在 JS 面試中，經常會看到一些簡單而又沙雕的題目，這些題目包含一些陷阱，但這些在我們規範的編碼下或者業務中基本不會出現。 有些面試官就是這樣，不專註於制定代碼的標準和規範上，卻用不規範的代碼去檢 ...
  • JavaScript如何解決單線程缺陷——webWorker
    # 解決JavaScript單線程問題——webWorkers > 參考文檔 [使用 Web Workers - Web API 介面參考 | MDN (mozilla.org)](https://developer.mozilla.org/zh-CN/docs/Web/API/Web_Worker ...
  • 原生AJAX的學習
    基礎知識 知識點梳理見圖： 自己動手實踐案例 案例1： 訪問本地文件 <!DOCTYPE html> <html> <body> <div id="demo"> <h1>XMLHttpRequest 對象</h1> <button type="button" onclick="loadDoc()"> ...
  • Vue3從入門到精通(二)
    vue3 偵聽器 在Vue3中，偵聽器的使用方式與Vue2相同，可以使用watch選項或$watch方法來創建偵聽器。不同之處在於，Vue3中取消了immediate選項，同時提供了新的選項和API。 創建偵聽器 可以使用watch選項或$watch方法來創建偵聽器，語法與Vue2相同。示例如下： ...
  • 原生AJAX案例瀏覽器報錯：Cross origin requests are only supported for protocol
    報錯信息如下： 代碼如下： <!DOCTYPE html> <html> <body> <div id="demo"> <h1>XMLHttpRequest 對象</h1> <button type="button" onclick="loadDoc()">更改內容</button> </div> ...
  • 文字效果 用背景漸變實現 波浪背景文字
    一. 目標 個人賬號的設置記憶功能-避免用戶每次登錄之後重新對錶單欄位做展示設置 二、存儲方案 輕量方案 結合localstorage低容量存儲（5M），根據LRU只存最近訪問的20至30張表格列配置數據 全量方案 大記憶體G級別，使用indexedDb進行存儲，有多少表格操作列數據就存多少， 結合第 ...
  • 代碼的壞味道（二）——為什麼建議使用模型來替換枚舉？
    ###為什麼建議使用對象來替換枚舉？ ### 在設計模型時，我們經常會使用枚舉來定義類型，比如說，一個員工類 Employee，他有職級，比如P6/P7。順著這個思路，設計一個 Level 類型的枚舉： ``` class Employee { private String name; /** * ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類