PE格式: 分析IatHook並實現
- 2022 年 7 月 25 日
- 筆記
- C++ 安全編程技術, 軟件逆向分析教程
Ring 3層的 IAT HOOK 和 EAT HOOK 其原理是通過替換IAT表中函數的原始地址從而實現Hook的，與普通的 InlineHook 不太一樣 IAT Hook 需要充分理解PE文件的結構才能完成 Hook，接下來將具體分析 IAT Hook 的實現原理，並編寫一個DLL注入文件，實現 IAT Hook 。
在早些年系統中運行的都是DOS應用，所以DOS頭結構就是在那個年代產生的，那時候還沒有PE結構的概念，不過軟件行業發展到今天DOS頭部分的功能已經無意義了，但為了最大的兼容性微軟還是保留了DOS文件頭，有些軟件在識別程序是不是可執行文件的時候通常會讀取PE文件的前兩個位元組來判斷是不是MZ。
上圖就是PE文件中的DOS部分，典型的DOS開頭ASCII字符串MZ幻數，MZ是Mark Zbikowski的縮寫，Mark Zbikowski是MS-DOS的主要開發者之一，很顯然這個人給微軟做出了巨大的貢獻。
在DOS格式部分我們只需要關註標紅部分，標紅部分是一個偏移值000000F8h該偏移值指向了PE文件中的標綠部分00004550指向PE字符串的位置，此外標黃部分為DOS提示信息，當我們在DOS模式下執行一個可執行文件時會彈出This program cannot be run in DOS mode.提示信息。
上圖中在PE字符串開頭位置向後偏移1位元組，就能看到黃色的014C此處代表的是機器類別的十六進制表示形式，在向後偏移1個位元組是紫色的0006代表的是程序中的區段數，繼續向後偏移1位元組會看到藍色的5DB93874此處是一個時間戳，代表的是自1970年1月1日至當前時間的總秒數，繼續向後可看到灰色的000C此處代表的是鏈接器的具體版本。
上圖中我們以PE字符串為單位向後偏移36位元組，即可看到文件偏移為120處的內容，此處的內容是我們要重點研究的對象。
在文件FOA偏移為120的位置，可以看到標紅色的地址0001121C此處代表的是程序裝入內存後的入口點(虛擬地址)，而緊隨其後的橙色部分00001000就是代碼段的基址，其後的粉色部分是數據段基址，在數據基址向後偏移1位元組可看到紫色的00400000此處就是程序的建議裝入地址，如果編譯器沒有開啟基址隨機化的話，此處默認就是00400000，開啟隨機化後建議裝入地址與實際地址將不符合。
繼續向下文件FOA偏移為130的位置，第一處淺藍色部分00001000為區段之間的對齊值，深藍色部分00002000為文件對其值。
上面只簡單的介紹了PE結構的基本內容，在PE結構的開頭我們知道了區段的數量是6個，接着我們可以在PE字符串向下偏移244個位元組的位置就能夠找到區段塊，區塊內容如下：
上圖可以看到，我分別用不同的顏色標註了這六個不同的區段，區段的開頭一般以.xxx為標識符其所對應的機器碼是2E，其中每個區塊分別佔用40個位元組的存儲空間。
我們以.text節為例子，解釋下不同塊的含義，第一處綠色的位置就是區段名稱該名稱總長度限制在8位元組以內，第二處深紅色標籤為虛擬大小，第三處深紫色標籤為虛擬偏移，第四處藍色標籤為實際大小，第五處綠色標籤為區段的屬性，其它的節區屬性與此相同，此處就不再贅述了。
接着繼續看一下導入表，導出表，基址重定位表，IAT表，這些表位於PE字符串向後偏移116個位元組的位置，如下我已經將重要的字段備註了顏色：
首先第一處淺紅色部分就是導出表的地址與大小，默認情況下只有DLL文件才會導出函數所以此處為零，第二處深紅色位置為導入表地址而後面的黃色部分則為導入表的大小，繼續向下第三處淺藍色部分則為資源表地址與大小，第四處棕色部分就是基址重定位表的地址，默認情況下只有DLL文件才會重定位，最下方的藍色部分是IAT表的地址，後面的黃色為IAT表的大小。
此時我們重點關注一下導入表RVA地址 0001A1E0 我們通過該地址計算一下導入表對應到文件中的位置。
計算公式：FOA = 導入RVA表地址 – 虛擬偏移 + 實際偏移 = > 0001A1E0 – 11000 + 400 = 95E0
通過計算可得知，導入表位置對應到文件中的位置是0x95E0，我們直接跟隨過去但此時你會驚奇的發現這裡全部都是0，這是因為Windows裝載器在加載時會動態的獲取第三方函數的地址並自動的填充到這些位置處，我們並沒有運行EXE文件所以也就不會填充，為了方便演示，我們將程序拖入x64dbg讓其運行起來，然後來看一個重要的結構。
typedef struct _IMAGE_IMPORT_DESCRIPTOR {
union {
DWORD Characteristics;
DWORD OriginalFirstThunk; // 指嚮導入表名稱的RVA
} DUMMYUNIONNAME;
DWORD TimeDateStamp; // 默認為0（非重點）
DWORD ForwarderChain; // 默認為0（非重點）
DWORD Name; // 指向DLL名字的RVA
DWORD FirstThunk; // 導入地址表IAT的RVA
} IMAGE_IMPORT_DESCRIPTOR;
該IMAGE_IMPORT_DESCRIPTOR 導入表結構的大小為4*5 = 20個位元組的空間，導入表結構結束的位置通常會通過使用一串連續的4*5個0表示結束，接下來我們將從後向前逐一分析這個數據結構所對應到程序中的位置。
通過上面對導入表的分析我們知道了導入表RVA地址為 0001A1E0 此時我們還知道ImageBase地址是00400000兩個地址相加即可得到導入表的虛擬VA地址0041a1e0，此時我們可以直接通過x64dbg的數據窗口定位到0041a1e0可看到如下地址組合，結合IMAGE_IMPORT_DESCRIPTOR結構來分析。
如上所示，可以看到該程序一共有3個導入結構分別是紅紫黃色部分，最後是一串零結尾的字符串，標誌着導入表的結束，我們以第1段紅色部分為例，最後一個地址偏移0001A15C對應的就是導入表中的FirstThunk字段，我們將其加上ImageBase地址，定位過去發現該地址剛好是LoadIconW的函數地址，那麼我們有理由相信緊隨其後的地址應該是下一個外部函數的地址，而事實也正是如此。
接着我們繼續來分析IMAGE_IMPORT_DESCRIPTOR 導入結構中的Name字段，其對應的是第一張圖中的紅色部分0001A54A將該偏移與基址00400000相加後直接定位過去，可以看到0041A54A對應的字符串正是USER32.dll動態鏈接庫，而後面會有兩個00標誌着字符串的結束。
最後我們來分析IMAGE_IMPORT_DESCRIPTOR中最複雜的一個字段OriginalFirstThunk 為什麼說它複雜呢？是因為他的內部並不是一個數值而是嵌套了另一個結構體 IMAGE_THUNK_DATA ，我們先來看一下微軟對該結構的定義：
typedef struct _IMAGE_THUNK_DATA32 {
union {
DWORD ForwarderString; // PBYTE
DWORD Function; // PDWORD
DWORD Ordinal; // 序號
DWORD AddressOfData; // 指向 PIMAGE_IMPORT_BY_NAME
} u1;
} IMAGE_THUNK_DATA32;
typedef IMAGE_THUNK_DATA32 * PIMAGE_THUNK_DATA32;
接着來找到OriginalFirstThunk字段在內存中的位置，由第一張圖可知，圖中的標紅部分第一個四位元組0001A38C 就是它丫的！我們加上基址00400000然後直接懟過去，並結合上方的結構定義研究一下！
該結構中我們需要關注AddressOfData結構成員，該成員中的數據最高位（紅色）如果為1(去掉1)說明是函數的導出序號，而如果最高位為0則說明是一個指向IMAGE_IMPROT_BY_NAME結構(導入表)的RVA（藍色）地址，此處因為我們找的是導入表所以最高位全部為零。
我們以上圖中的第一個RVA地址0001A53E與基址相加，來看下該AddressOfData字段中所指向的內容是什麼。
上圖黃色部分是編譯器生成的，而藍色部分則為LoadIconW字符串與FirstThunk中的0041A15C地址指針是相互對應的，而最後面的00則表明字符串的結束，對比以下結構聲明就很好理解了。
typedef struct _IMAGE_IMPORT_BY_NAME {
WORD Hint; // 編譯器生成的
CHAR Name[1]; // 函數名稱，以0結尾的字符串
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;
為了能更加充分的理解，我用Excel畫了一張圖，如下所示：
![1379525-20191101100243917-1186713345.png][12]
如上圖IMAGE_IMPORT_DESCRIPTO導入表結構中的FirstThunk和OriginalFirstThunk分別指向兩個相同的IMAGE_THUNK_DATA結構，其中內存INT(Improt Name Table)表中存儲的就是導入函數的名稱，而IAT(Improt Address Table)表中存放的是導入函數的地址，他們都共同指向IMAGE_IMPORT_BY_NAME結構，而之所以使用兩份IMAGE_THUNK_DATA結構，是為了最後還可以留下一份備份數據用來反過來查詢地址所對應的導入函數名，看了這張圖再結合上面的實驗相信你已經理解了！
一個 DLL 文件對應一個 IMAGE_IMPORT_DESCRIPTOR 結構，而一個 DLL 文件中有多個函數，那麼需要使用兩個循環來進行枚舉。外層循環枚舉所有的 DLL，而內層循環枚舉所導入的該 DLL 的所有函數名及函數地址。
#include <windows.h>
#include <Dbghelp.h>
#include <stdio.h>
#pragma comment (lib, "Dbghelp")
int main(int argc, char* argv[])
{
HANDLE hFile = CreateFile(L"c://1.exe", GENERIC_READ, FILE_SHARE_READ,
NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);
HANDLE hMap = CreateFileMapping(hFile, NULL, PAGE_READONLY | SEC_IMAGE, 0, 0, 0);
LPVOID lpBase = MapViewOfFile(hMap, FILE_MAP_READ, 0, 0, 0);
PIMAGE_DOS_HEADER pDosHdr = (PIMAGE_DOS_HEADER)lpBase;
if (pDosHdr->e_magic != IMAGE_DOS_SIGNATURE)
{
UnmapViewOfFile(lpBase);
return -1;
}
PIMAGE_NT_HEADERS pNtHdr = (PIMAGE_NT_HEADERS)((DWORD)lpBase + pDosHdr->e_lfanew);
if (pNtHdr->Signature != IMAGE_NT_SIGNATURE)
{
return -1;
}
DWORD dwNum = 0;
PIMAGE_IMPORT_DESCRIPTOR pImpDes = (PIMAGE_IMPORT_DESCRIPTOR)
ImageDirectoryEntryToData(lpBase, TRUE, IMAGE_DIRECTORY_ENTRY_IMPORT, &dwNum);
PIMAGE_IMPORT_DESCRIPTOR pTmpImpDes = pImpDes;
while (pTmpImpDes->Name)
{
printf("[*] 鏈接庫名稱: %s \n", (DWORD)lpBase + (DWORD)pTmpImpDes->Name);
PIMAGE_THUNK_DATA thunk = (PIMAGE_THUNK_DATA)(pTmpImpDes->FirstThunk + (DWORD)lpBase);
int index = 0;
while (thunk->u1.Function)
{
if (thunk->u1.Ordinal & IMAGE_ORDINAL_FLAG)
{
printf("導入序號: %08X \r\n", thunk->u1.Ordinal & 0xFFFF);
}
else
{
PIMAGE_IMPORT_BY_NAME pImName = (PIMAGE_IMPORT_BY_NAME)thunk->u1.Function;
printf("函數名稱: %-30s \t", (DWORD)lpBase + pImName->Name);
DWORD dwAddr = (DWORD)((DWORD *)((DWORD)pNtHdr->OptionalHeader.ImageBase
+ pTmpImpDes->FirstThunk) + index);
printf("導入地址: 0x%08x \r\n", dwAddr);
}
thunk++; index++;
}
pTmpImpDes++;
}
system("pause");
return 0;
}
經過了上面對導入表的學習，接着我們就來通過代碼的方式實現劫持MessageBox函數：
1.首先需要編寫一個DLL文件，在DLL文件中找出MessageBox的原函數地址。
2.接着通過代碼的方式找到DOS/NT/FILE-Optional頭偏移地址。
3.通過DataDirectory[1]數組得到導入表的起始RVA並與ImageBase基址相加得到VA。
4.循環遍歷導入表中的IAT表，找到與MessageBox地址相同的4位元組位置。
5.找到後通過VirtualProtect設置內存屬性可讀寫，並將自己的函數地址寫入到目標IAT表中。
6.沒有找到的話直接pFirstThunk++循環遍歷後面的4位元組位置，直到找到為止。
知道了流程，編寫並理解代碼就變得非常簡單了，代碼如下，你可以自行注入到進程中測試效果。
#include <stdio.h>
#include <Windows.h>
typedef int(WINAPI *pfMessageBoxA)(HWND, LPCSTR, LPCSTR, UINT);
pfMessageBoxA OldMessageBoxA = NULL;
int WINAPI MyMessageBoxA(HWND hWnd, LPCSTR lpText, LPCSTR lpCaption, UINT uType)
{
return OldMessageBoxA(hWnd, "hello lyshark", lpCaption, uType);
}
PIMAGE_NT_HEADERS GetLocalNtHead()
{
DWORD dwTemp = NULL;
PIMAGE_DOS_HEADER pDosHead = NULL;
PIMAGE_NT_HEADERS pNtHead = NULL;
HMODULE ImageBase = GetModuleHandle(NULL); // 取自身ImageBase
pDosHead = (PIMAGE_DOS_HEADER)(DWORD)ImageBase; // 取pDosHead地址
dwTemp = (DWORD)pDosHead + (DWORD)pDosHead->e_lfanew;
pNtHead = (PIMAGE_NT_HEADERS)dwTemp; // 取出NtHead頭地址
return pNtHead;
}
void IATHook()
{
PVOID pFuncAddress = NULL;
pFuncAddress = GetProcAddress(GetModuleHandleA("user32.dll"), "MessageBoxA"); // 取Hook函數地址
OldMessageBoxA = (pfMessageBoxA)pFuncAddress; // 保存原函數指針
PIMAGE_NT_HEADERS pNtHead = GetLocalNtHead(); // 獲取到程序自身NtHead
PIMAGE_FILE_HEADER pFileHead = (PIMAGE_FILE_HEADER)&pNtHead->FileHeader;
PIMAGE_OPTIONAL_HEADER pOpHead = (PIMAGE_OPTIONAL_HEADER)&pNtHead->OptionalHeader;
DWORD dwInputTable = pOpHead->DataDirectory[1].VirtualAddress; // 找出導入表偏移
DWORD dwTemp = (DWORD)GetModuleHandle(NULL) + dwInputTable;
PIMAGE_IMPORT_DESCRIPTOR pImport = (PIMAGE_IMPORT_DESCRIPTOR)dwTemp;
PIMAGE_IMPORT_DESCRIPTOR pCurrent = pImport;
DWORD *pFirstThunk; //導入表子表,IAT存儲函數地址表.
//遍歷導入表
while (pCurrent->Characteristics && pCurrent->FirstThunk != NULL)
{
dwTemp = pCurrent->FirstThunk + (DWORD)GetModuleHandle(NULL);// 找到內存中的導入表
pFirstThunk = (DWORD *)dwTemp; // 賦值 pFirstThunk
while (*(DWORD*)pFirstThunk != NULL) // 不為NULl說明沒有結束
{
if (*(DWORD*)pFirstThunk == (DWORD)OldMessageBoxA) // 相等說明正是我們想要的地址
{
DWORD oldProtected;
VirtualProtect(pFirstThunk, 0x1000, PAGE_EXECUTE_READWRITE, &oldProtected); // 開啟寫權限
dwTemp = (DWORD)MyMessageBoxA;
// 將MyMessageBox地址拷貝替換
memcpy(pFirstThunk, (DWORD *)&dwTemp, 4);
VirtualProtect(pFirstThunk, 0x1000, oldProtected, &oldProtected); // 關閉寫保護
}
pFirstThunk++; // 繼續遞增循環
}
pCurrent++; // 每次是加1個導入表結構.
}
}
BOOL APIENTRY DllMain(HMODULE hModule,DWORD ul_reason_for_call,LPVOID lpReserved)
{
IATHook();
return TRUE;
}
EAT Hook就是針對於導出表的Hook掛鈎技術，與IAT不同的是它存放的不是函數地址，而是導出函數地址的偏移，使用時需要加上指定Dll的模塊基地址，當Hook掛鈎之後，所有試圖通過輸出表獲取函數地址的行為都會受到影響，EATHook並不會直接生效，他只能影響Hook之後對該函數地址的獲取。EAT Hook的流程如下:
1.首先獲取到DOS頭，並加上偏移得到NT頭，再通過Nt頭得到數據目錄表基地址。
2.數據目錄表中的第0個成員指嚮導出表的首地址，直接拿到導出表的虛擬地址。
3.循環查找導出表的導出函數是否與我們的函數名稱一致，一致則取出導出函數地址。
4.設置導出函數位置讀寫屬性，將新的導出函數地址寫入到該位置
代碼如下所示:
#include <windows.h>
#include <cstdio>
#include <tchar.h>
BOOL EATHook(LPCTSTR szDllName, LPCTSTR szFunName, LPVOID NewFun)
{
DWORD addr = 0, index = 0,dwProtect=0;
HMODULE DllBase = LoadLibrary(szDllName);
if (NULL == DllBase)
return(FALSE);
// 1.首先得到Dos頭，NT頭，數據目錄表
PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)DllBase;
// PIMAGE_OPTIONAL_HEADER pOptHeader = (PIMAGE_OPTIONAL_HEADER)((PBYTE)DllBase + pDosHeader->e_lfanew + 24);
PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);
PIMAGE_OPTIONAL_HEADER pOptHeader = (PIMAGE_OPTIONAL_HEADER)(&pNtHeader->OptionalHeader);
// 2.得到導出表的虛擬地址
PIMAGE_EXPORT_DIRECTORY pExpDes = (PIMAGE_EXPORT_DIRECTORY)
((PBYTE)DllBase + pOptHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress);
// 3.獲取導出表的函數地址，函數名稱，函數序號
PULONG pAddressOfFunctions = (PULONG)((PBYTE)DllBase + pExpDes->AddressOfFunctions);
PULONG pAddressOfNames = (PULONG)((PBYTE)DllBase + pExpDes->AddressOfNames);
PUSHORT pAddressOfNameOrdinals = (PUSHORT)((PBYTE)DllBase + pExpDes->AddressOfNameOrdinals);
// 4.循環查找
for (int i = 0; i < pExpDes->NumberOfNames; ++i)
{
index = pAddressOfNameOrdinals[i];
LPCTSTR pFuncName = (LPTSTR)((PBYTE)DllBase + pAddressOfNames[i]);
if (!_tcscmp((LPCTSTR)pFuncName, szFunName))
{
addr = pAddressOfFunctions[index];
break;
}
}
// 5.設置導出函數位置讀寫屬性，將新的導出函數地址寫入到該位置
VirtualProtect(&pAddressOfFunctions[index], 0x1000, PAGE_READWRITE, &dwProtect);
pAddressOfFunctions[index] = (DWORD)NewFun - (DWORD)DllBase;
WriteProcessMemory(GetCurrentProcess(), &pAddressOfFunctions[index],
(LPCVOID)((DWORD)NewFun - (DWORD)DllBase), sizeof(NewFun), &dwProtect);
return(TRUE);
}
int __stdcall MyMessageBox(HWND hWnd,LPCTSTR lpText,LPCTSTR lpCaption,UINT uType)
{
printf("hello lyshark \n");
return(0);
}
typedef int (WINAPI* LPFNMESSAGEBOX)(HWND hWnd, LPCTSTR lpText, LPCTSTR lpCaption, UINT uType);
int main(int argc,char *argv[])
{
// 對MessageBoxA進行Eat Hook
EATHook("USER32.dll", "MessageBoxA", MyMessageBox);
// 模擬下次調用後就是執行我們的Hook代碼
LoadLibrary("USER32.dll");
HMODULE hDll = GetModuleHandle("USER32.dll");
LPFNMESSAGEBOX lpMessageBox = (LPFNMESSAGEBOX)GetProcAddress(hDll, "MessageBoxA");
lpMessageBox(NULL, "Hello, EAT Hook", "Info", MB_OK);
return(0);
}
