利用PDB文件获取未导出全局变量、函数等信息

最新推荐文章于 2024-07-27 23:19:00 发布

OSReact

最新推荐文章于 2024-07-27 23:19:00 发布

阅读量1.4k

点赞数

CC 4.0 BY-SA版权

分类专栏：掌握调试器文章标签： access path

本文链接：https://blog.youkuaiyun.com/OSReact/article/details/7738560

掌握调试器专栏收录该内容

4 篇文章

订阅专栏

本文介绍了一种利用Sysinternals的ProcExp工具逆向获取未导出的内核池大小的方法。该方法涉及获取内核映像文件名称、内核在内存中的基址等步骤，并最终通过符号文件获取特定地址。

方法来源于对Sysinternals的procexp的逆向。

在通过kernel的pdb获取未导出的MmSizeOfPagedPoolInBytes和MmMaximumNonPagedPoolInBytes时，procexp执行了如下几个步骤：

1. 获取kernel的映像文件名称
调用IsProcessorFeaturePresent判断PAE是否开启，以确定使用ntoskrnl.exe还是ntkrnlpa.exe。
2. 获取kernel在内存中的基址
调用NtQuerySystemInformation，使用SystemModuleInformation(0x0B)枚举模块，并使用1中获得的文件名查找，确定kernel在内存中的基址。
3. 拼接kernel的完整路径，使用CreateFile(access:GENERIC_READ)打开。
4. 调用SetEnvironmentVariable设置_NT_SYMBOL_PATH为符号文件所在路径。
5. 调用SymInitialize。
6. 调用SymLoadModule64，用到3中得到的kernel文件的句柄。
7. 调用SymGetSymFromName，由IMAGEHLP_SYMBOL获得Address。

8. 调用SymCleanup。

这样，7中所得到Address | 0x80000000就是要找的内核地址了。