搜索

[12778] 2018-06-02_如何利用IDAPython浏览WINDOWS内核

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-06-02_如何利用IDAPython浏览WINDOWS内核 如 何 利 用 I D A   P y t h o n 浏 览 W I N D O W S 内 核 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 6 - 0 2 写 在 前 面 的 话 写 在 前 面 的 话 当 我 去 参 加 安 全 会 议 时 ， 我 总 喜 欢 跟 大 神 们 讨 论 关 于 逆 向 工 程 方 面 的 东 西 。 因 为 这 样 我 就 可 以 从 别 人 的 经 验 中 当 我 去 参 加 安 全 会 议 时 ， 我 总 喜 欢 跟 大 神 们 讨 论 关 于 逆 向 工 程 方 面 的 东 西 。 因 为 这 样 我 就 可 以 从 别 人 的 经 验 中 了 解 到 他 们 是 如 何 自 动 化 实 现 那 些 繁 琐 操 作 的 了 。 值 得 一 提 的 是 ， 很 多 人 已 经 习 惯 使 用 了 解 到 他 们 是 如 何 自 动 化 实 现 那 些 繁 琐 操 作 的 了 。 值 得 一 提 的 是 ， 很 多 人 已 经 习 惯 使 用 I D A 的 人 却 不 喜 欢 使 用 的 人 却 不 喜 欢 使 用 内 置 的 内 置 的 A P I 来 完 成 他 们 的 工 作 。 为 了 改 变 这 个 现 状 ， 今 天 我 准 备 给 大 家 演 示 来 完 成 他 们 的 工 作 。 为 了 改 变 这 个 现 状 ， 今 天 我 准 备 给 大 家 演 示 I D A 配 合 上 配 合 上 P y t h o n 之 后 会 有 怎 样 强 之 后 会 有 怎 样 强 大 的 效 果 。 大 的 效 果 。 在 这 篇 文 章 中 ， 我 将 给 大 家 介 绍 如 何 利 用 I D A   P y t h o n 来 枚 举 W i n d o w s 的 系 统 调 用 表 。 背 景 知 识 背 景 知 识 W i n d o w s 系 统 中 所 有 发 生 的 系 统 调 用 都 会 被 分 配 一 个 I D ， 这 个 I D 是 一 个 唯 一 值 ， 用 于 标 识 一 个 系 统 调 用 在 执 行 时 具 体 使 用 的 是 哪 一 个 函 数 。 在 不 同 的 W i n d o w s 版 本 中 ， 这 些 I D 的 变 化 可 能 会 非 常 大 ， 对 于 W i n d o w s   1 0 来 说 ， 每 一 个 发 行 版 本 中 的 这 些 I D 都 不 同 。 但 是 对 于 普 通 应 用 程 序 而 言 ， 由 于 使 用 的 是 用 户 模 式 下 的 代 码 库 ， 因 此 I D 不 会 变 化 。 接 下 来 ， 我 将 给 大 家 演 示 如 何 手 动 枚 举 调 用 表 ， 然 后 再 演 示 如 何 通 过 P y t h o n 实 现 自 动 化 枚 举 。 手 动 枚 举 手 动 枚 举 W i n d o w s 系 统 调 用 表 系 统 调 用 表 在 解 析 系 统 调 用 表 时 我 们 还 有 三 个 重 要 的 符 号 需 要 识 别 ： 表 的 基 址 、 表 的 大 小 和 参 数 在 栈 中 所 占 的 字 节 大 小 。 对 于 n t o s k r n l . e x e 来 说 ， 这 三 个 参 数 的 名 称 分 别 为 ： K i S e r v i c e T a b l e 、 K i S e r v i c e L i m i t 和 K i A r g u m e n t T a b l e 。 对 于 w i n 3 2 k . s y s 来 说 ， 这 三 个 参 数 就 变 成 了 W 3 2 p S e r v i c e T a b l e 、 W 3 2 p S e r v i c e L i m i t 和 W 3 2 p A r g u m e n t T a b l e 。 在 3 2 位 系 统 架 构 中 ， 这 些 符 号 名 称 中 都 会 包 含 下 划 线 。 比 如 说 ， 我 们 来 看 一 看 W i n d o w s   7   6 4 位 版 本 中 n t o s k r n l . e x e （ 版 本 6 . 1 . 7 6 0 1 . 2 4 1 1 7 ） 的 信 息 。 K i S e r v i c e L i m i t 数 据 如 图 1 所 示 ：
根 据 这 些 信 息 ， 我 们 可 以 看 到 这 里 有 4 0 1 个 系 统 调 用 （ 0 x 1 9 1 ） 。 K i S e r v i c e T a b l e 数 据 如 图 2 所 示 ： 根 据 图 2 的 数 据 ， 我 们 就 可 以 将 函 数 和 它 们 的 I D 手 动 映 射 出 来 了 。 其 中 ， N t M a p U s e r P h y s i c a l P a g e s S c a t t e r 对 应 的 I D 为 0 x 0 0 0 0 ， N t W a i t F o r S i n g l e O b j e c t 对 应 的 I D 为 0 x 0 0 0 1 ， N t C a l l b a c k R e t u r n 对 应 的 I D 为 0 x 0 0 0 2 ， 后 面 的 依 此 类 推 。 这 里 有 两 种 特 殊 情 况 需 要 专 门 处 理 。 如 果 我 们 分 析 的 是 w i n 3 2 k . s y s ， 在 枚 举 函 数 I D 时 需 要 在 表 地 址 上 加 0 x 1 0 0 0 。 同 样 的 ， 对 于 6 4 位 W i n d o w s 1 0 （ b u i l d   1 6 0 7 ） 我 们 也 需 要 进 行 不 同 的 处 理 。 在 这 个 版 本 的 系 统 中 ， 系 统 调 用 表 包 含 了 四 个 字 节 的 函 数 偏 移 量 。 下 面 给 出 的 是 版 本 号 为 1 0 . 0 . 1 7 1 3 4 . 4 8 的 n t o s k r n l . e x e 信 息 。 K i S e r v i c e T a b l e 数 据 如 图 3 所 示 ： 这 也 就 意 味 着 ， 我 们 需 要 每 次 读 取 四 个 字 节 的 值 ， 然 后 将 它 们 与 基 地 址 相 加 。 利 用 利 用 I D A 完 成 自 动 化 映 射 完 成 自 动 化 映 射 首 先 我 们 来 看 一 看 需 要 调 用 的 I D A 函 数 ： 1 .   i d a a p i . g e t _ i m a g e b a s e ： 这 个 函 数 将 会 在 我 们 所 查 看 的 模 块 中 返 回 基 地 址 。 2 .   i d c . G e t I n p u t F i l e ： 该 函 数 可 以 返 回 I D B 加 载 的 文 件 名 称 。 3 .   i d c . B A D A D D R ： 这 是 一 个 值 为 - 1 （ 无 符 号 整 形 ） 的 常 量 ， 我 们 还 可 以 用 它 来 判 断 当 前 系 统 为 3 2 位 还 是 6 4 位 模 式 。 4 .   i d c . N a m e ： 该 函 数 可 以 返 回 给 定 地 址 的 名 称 。 5 .   i d c . L o c B y N a m e ： 它 的 功 能 跟 i d c . N a m e 正 好 相 反 ， 它 用 于 返 回 给 定 名 称 的 地 址 。 6 .   i d c . D w o r d ： 该 函 数 能 返 回 给 定 地 址 的 四 字 节 值 。 7 .   i d c . Q w o r d ： 该 函 数 可 返 回 给 定 地 址 的 八 字 节 值 。 8 .   i d a u t i l s . D a t a R e f s F r o m ： 该 函 数 可 根 据 任 意 数 据 引 用 枚 举 给 定 地 址 。 首 先 ， 我 们 需 要 确 定 正 在 分 析 的 对 象 是 n t o s k r n l . e x e 还 是 w i n 3 2 k . s y s ：
接 下 来 ， 我 们 需 要 判 断 使 用 哪 一 个 符 号 名 称 ， 并 判 断 是 否 需 要 在 变 量 中 添 加 下 划 线 ： 如 果 表 不 存 在 ， L o c B y N a m e 将 返 回 B A D A D D R ， 所 以 我 们 就 可 以 利 用 这 一 点 来 测 试 符 号 名 称 是 否 存 在 或 是 否 需 要 添 加 下 划 线 。 得 到 了 正 确 的 符 号 名 称 之 后 ， 我 们 需 要 获 取 表 的 实 际 大 小 ： 首 先 获 取 L o c B y N a m e 的 地 址 ， 然 后 利 用 D w o r d 获 取 地 址 值 。 下 面 给 出 的 是 6 4 位 W i n d o w s   1 0 的 处 理 方 法 ： D a t a R e f s F r o m 将 会 利 用 数 据 引 用 来 遍 历 表 的 基 地 址 ， 但 如 果 目 标 是 新 版 本 的 W i n d o w s   1 0 系 统 ， 我 们 就 需 要 在 基 地 址 上 加 上 相 应 的 值 。 接 下 来 需 要 做 的 就 是 从 表 的 基 地 址 开 始 读 取 连 续 的 值 。 我 们 可 以 使 用 Q w o r d 函 数 处 理 6 4 位 版 本 ， 用 D w o r d 处 理 3 2 位 版 本 。 下 面 给 出 的 是 输 出 结 果 样 本 ： 工 具 下 载 工 具 下 载 完 整 源 码 请 点 击 阅 读 原 文 阅 读 原 文 获 取 总 结 总 结 逆 向 工 程 分 析 本 来 就 是 一 个 枯 燥 乏 味 的 工 作 ， 但 任 务 的 自 动 化 实 现 却 能 够 在 无 聊 中 添 加 一 些 趣 味 。 希 望 大 家 能 够 喜 欢 这 篇 文 章 ， 并 在 日 常 工 作 中 发 现 I D A 和 P y t h o n 的 更 多 功 能 。
*   参 考 来 源 ： 参 考 来 源 ： z e r o d a y i n i t i a t i v e ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理