|
Вопрос # 6 281/ вопрос решён / |
|
Здравствуйте, уважаемые эксперты!
Пытаюсь получить адрес функции в чужом приложении.
Разобрал PE заголовки, и в итоге не могу извлеч значение ImageExportDir.AddressOfNameOrdinals.
Среда пишет что там вот такой тип значения - ^PWORD.
PWORD как я понимаю указатель на WORD.
Причём один такой параметр извлёкся без проблем, место где я в цикле читаю имена фйункций и сравниваю с тем что передают в функцию
for I := 0 to ImageExportDir.NumberOfNames - 1 do
begin
FuncDataAddr := BaseAddr + CARDINAL(ImageExportDir.AddressOfNames) + I * SizeOf(CARDINAL);
Вплоть до этого места всё проверено и в итоге я выводил имя функции в эдит, но адрес функции получается не тот что я извлекаю внутри длл которую внедрил.
В общем ощибка в последних строках кода, может я вообще не правильно получаю адрес?
Полный код в приложении.
Приложение: Переключить в обычный режим- {{code}}
-
-
- function GetProcAddressInAnotherProcess(PId: CARDINAL; ModuleName: PWideChar; FuncName: PWideChar):
CARDINAL;
- var
- DosHeader: TImageDOSHeader;
- NTHeader: TImageNTHeaders;
- ImageExportDir: TImageExportDirectory;
- ModuleEntry: ModuleEntry32;
- NextModule: BOOL;
- Name: PAnsiChar;
- BaseAddr, BaseNTHeader, BaseExportDir,
- FuncDataAddr, NameAddr, FuncIndexAddr,
- HProcess, SnapModule, SizeName, FuncIndex,
- NameIndex, NumbReadBytes, I, FuncAddr: CARDINAL;
- begin
-
- HProcess := OpenProcess(PROCESS_ALL_ACCESS, TRUE, PId);
- SnapModule := CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, PId);
- ModuleEntry.dwSize := SizeOf(ModuleEntry);
- NextModule := Module32First(SnapModule, ModuleEntry);
- while NextModule do
- begin
- if ModuleEntry.szModule = WideString(ModuleName) then
- begin
- BaseAddr := (ModuleEntry.hModule and $FFFF0000);
- Break;
- end;
- NextModule := Module32Next(SnapModule, ModuleEntry);
- end;
- CloseHandle(SnapModule);
- CloseHandle(HProcess);
-
- HProcess := OpenProcess(PROCESS_VM_READ, TRUE, PId);
- ReadProcessMemory(HProcess, POINTER(BaseAddr), Addr(DosHeader), SizeOf(DosHeader),
NumbReadBytes);
- BaseNTHeader := BaseAddr + CARDINAL(DosHeader._lfanew);
- ReadProcessMemory(HProcess, POINTER(BaseNTHeader), Addr(NTHeader), SizeOf(NTHeader),
NumbReadBytes);
- BaseExportDir := BaseAddr +
NTHeader.OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress;
- ReadProcessMemory(HProcess, POINTER(BaseExportDir), Addr(ImageExportDir), SizeOf(ImageExportDir),
NumbReadBytes);
- SizeName := Length(FuncName);
- Name := AllocMem(SizeName);
- for I := 0 to ImageExportDir.NumberOfNames - 1 do
- begin
- FuncDataAddr := BaseAddr + CARDINAL(ImageExportDir.AddressOfNames) + I * SizeOf(CARDINAL);
- ReadProcessMemory(HProcess, POINTER(FuncDataAddr), Addr(NameAddr), SizeOf(NameAddr),
NumbReadBytes);
- NameAddr := BaseAddr + NameAddr;
- ReadProcessMemory(HProcess, POINTER(NameAddr), Name, SizeName, NumbReadBytes);
- if STRING(Name) = STRING(FuncName) then
- begin
- NameIndex := I;
- FuncDataAddr := 0;
- Break;
- end;
- end;
- FuncIndexAddr := BaseAddr + WORD(ImageExportDir.AddressOfNameOrdinals) + NameIndex *
SizeOf(WORD);
- ReadProcessMemory(HProcess, POINTER(FuncIndexAddr), Addr(FuncIndex), SizeOf(FuncIndex),
NumbReadBytes);
- FuncDataAddr := BaseAddr + DWORD(ImageExportDir.AddressOfFunctions) + FuncIndex * SizeOf(DWORD);
- ReadProcessMemory(HProcess, POINTER(FuncDataAddr), Addr(FuncAddr), SizeOf(FuncAddr),
NumbReadBytes);
-
-
- CloseHandle(HProcess);
- result := BaseAddr + FuncAddr;
-
- end;
- {{/code}}
 |
Вопрос задал: QWERYTY (статус: Посетитель)
Вопрос отправлен: 14 октября 2012, 23:01
Состояние вопроса: решён, ответов: 0.
|
Мини-форум вопроса
Всего сообщений: 6; последнее сообщение — 20 октября 2012, 19:30; участников в обсуждении: 2.
|
Amidamaru (статус: 4-ый класс), 15 октября 2012, 00:16 [#1]:
Не знаю правильно ты получаешь адрес или нет. Но несколько ошибок я думаю нашел:
Есть AllocMem, но нету FreeMem;
на 47й строке я думаю нужно использовать Name^;
при сравнении на 48й строке, возможно, стоит использовать UpperCase или LowerCase.
ps Вместо AllocMem я бы использовал просто SetLength.
|
|
|
QWERYTY (статус: Посетитель), 15 октября 2012, 02:02 [#2]:
Справедливое замечание насчёт FreeMem. Это пока сырой код, я буду его перерабатывать когда заработает.
В 47-й строке так чтоли POINTER(Name^)?(Загнался, в смысле вместо POINTER Addr)
Name: PAnsiChar; Получается разыменуем, а функция требует указатель. Я вообще в начале пробовал AnsiChar и SetLength, но пошла какая то бычка. В интернете пошарился и нашёл примеры с AllocMem, в итоге вышло так. Я надеюсь это не сильно критичные ошибки? Прога для себя, быстродействие не основная характеристика, экономия памяти тоже.
Оставил так ибо после проверки выяснилось что работает.
Но если не сильно сложно продемонстрируйте как нужно с SetLength
if STRING(Name) = STRING(FuncName)
Код писался давно, я к нему недавно вернулся и уже не помню как я пришёл к такой конструкции.
Код переделывался с си, и разумеется не всё пошло как в коде на си. Некоторые вещи я просто не мог понять, и приходилось искать обходные пути. Я лучше покажу чем трепаться:
// Читаем строку
ReadProcessMemory(hProcess, reinterpret_cast<const BYTE*>(baseAddress) + nameRVA, candidate.get(), size, NULL);
if (strcmp(name, candidate.get()) == 0)
{
Вот тут я не смог разобраться с candidate.get(), и началась возня которую вы видели.
// Читаем индекс (они двухбайтные!!!)
ReadProcessMemory(hProcess, baseAddress + export.AddressOfNameOrdinals + nameIndex * sizeof(WORD), &funcIndex,
sizeof(funcIndex), NULL);
и
// Читаем адрес
DWORD funcRVA;
ReadProcessMemory(hProcess, baseAddress + export.AddressOfFunctions + funcIndex * sizeof(DWORD), &funcRVA,
sizeof(funcRVA), NULL);
// Результат это базовый адрес + RVA
return (baseAddress + funcRVA);
Вот участок кода который не получается перевести на делфи.
На си выглядит гладко но на паскале пока не выходит.
ВЕРИТЬ ВО ВНЕЗЕМНЫЕ ЦИВИЛИЗАЦИИ НЕ ОЗНАЧАЕТ ВЕРИТЬ В ИНОПЛАНЕТЯН.
|
|
|
QWERYTY (статус: Посетитель), 15 октября 2012, 02:20 [#3]:
UpperCase или LowerCase может быть и нужно использовать.
Честно говоря пока тестировал только на своей DLL.
Экспортировал три функции(по именам, поиск по ординалам меня не интересует) и этим кодом получается их найти. Вводил имена точ в точ как в экспорте и получал индексы от 0 до 2. Если будут проблемы с другими библиотеками обязательно буду приводить имена к какому нибудь из регистров.
ВЕРИТЬ ВО ВНЕЗЕМНЫЕ ЦИВИЛИЗАЦИИ НЕ ОЗНАЧАЕТ ВЕРИТЬ В ИНОПЛАНЕТЯН.
|
|
|
Amidamaru (статус: 4-ый класс), 15 октября 2012, 09:49 [#4]:
Да с Name^ я похоже ошибся, но тогда я уже не знаю что здесь может быть не так. Если ты говоришь что получал адреса функций в своей библиотеке, значит всё работает.
|
|
|
QWERYTY (статус: Посетитель), 15 октября 2012, 14:22 [#5]:
Да, я получаю адрес в биьлиотеке которую внедрил вот таким образом(сделал вывод сообщения как самый простой вариант, для проверки устраивает. Кстати на второй и последующих загрузках адрес всегда одинаковый, это нормально?)
Код в длл которую внедряю, стартует сразу после загрузки удалённым потоком
begin
...
...
Mwwin32Handle := GetModuleHandle('mwwin32.dll');
...
...
InitAddr := GetProcAddress(Mwwin32Handle, 'Init');
ShowMessage(IntToStr(DWORD(InitAddr)));
end.
Я думаю тут нет ошибки с адресом функции, всегда их так получал и всё работало.
Следовательно ошибка в GetProcAddressInAnotherProcess если параметры не совпадают.
Пытаюсь получить адрес вот так:
FunkAddress := GetProcAddressInAnotherProcess(PId, PWideChar('mwwin32.dll'), PWideChar('Init'));
PId проверен не однократно разными программами, сомнений не вызывает.
BaseAddr := (ModuleEntry.hModule and $FFFF0000); - Вот эту конструкцию не очень понял, в си коде было так:
char* baseAddress = reinterpret_cast<char*>(reinterpret_cast<DWORD>(hLib) & 0xFFFF0000);
HMODULE hLib - Как я понимаю хендл библиотеки.
Но вопреки логике просто хендл не работал, то есть я даже не попадал на досовский заголовок. Так работает, я вышел в итоге и на дос заголовок и на нт заголовок. Проверил сигнатуру и она оказалась 4550, ну и соответственно двинулся дальше в эти дебри.
_IMAGE_EXPORT_DIRECTORY.AddressOfNameOrdinals: ^PWORD
Это выводит студия когда я навожу курсор на AddressOfNameOrdinals, но что это за замута не могу понять и соответственно извлеч значение.
В итоге из самой длл я получаю вот такое значение - $50A322C,
А функцией вот такое - $50F0025.
Как я понимаю до ImageExportDir я добрался без ошибок, ибо я извлекал строку с именем библиотеки ImageExportDir.Name и она совпала с именем библиотеки.
ВЕРИТЬ ВО ВНЕЗЕМНЫЕ ЦИВИЛИЗАЦИИ НЕ ОЗНАЧАЕТ ВЕРИТЬ В ИНОПЛАНЕТЯН.
|
|
|
QWERYTY (статус: Посетитель), 20 октября 2012, 19:30 [#6]:
Ну всё, разобрался.
_IMAGE_EXPORT_DIRECTORY.AddressOfNameOrdinals: ^PWORD.
Здесь мне указывают что лежат элементы размером WORD, а дрес то нужно брать DWORD.
В 55-й строке:
FuncIndexAddr := BaseAddr + WORD(ImageExportDir.AddressOfNameOrdinals) + NameIndex *
SizeOf(WORD);
а нужно:
FuncIndexAddr := BaseAddr + DWORD(ImageExportDir.AddressOfNameOrdinals) + NameIndex *
SizeOf(WORD);
И читать нам нужно два байта по этому адресу, следовательно нужно в переменные добавить вот это:
FuncIndex: WORD;
Вот теперь можно перерабатывать код.
Спасибо Амидамару, не поленился глянуть код.
FreeMem сделал, регистр символов при сравнении учту.
ВЕРИТЬ ВО ВНЕЗЕМНЫЕ ЦИВИЛИЗАЦИИ НЕ ОЗНАЧАЕТ ВЕРИТЬ В ИНОПЛАНЕТЯН.
|
20 октября 2012, 19:38: Статус вопроса изменён на решённый (изменил автор вопроса — QWERYTY): Решён
Чтобы оставлять сообщения в мини-форумах, Вы должны авторизироваться на сайте.
|
