shellcode定位kernel32与LoadLibrary

最新推荐文章于 2024-10-23 07:32:35 发布

原创

最新推荐文章于 2024-10-23 07:32:35 发布 · 3.3k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#function #parameters #table #module #windows #api

这段代码展示了如何在Windows中使用Shellcode定位kernel32.dll的基地址以及LoadLibrary API的地址。通过遍历PEB（Process Environment Block）和其导入表，代码首先找到kernel32.dll模块，然后使用strcmp函数比较函数名称来获取LoadLibrary的地址。此方法在不同Windows版本中具有较好的兼容性，但相比暴力搜索和哈希值搜索，代码空间占用较大。

//定位Kernel32 __declspec(naked) int GetKernel32Base() { __asm { XOR ECX, ECX ; ECX = 0 MOV ESI, FS:[ECX + 0x30] ; ESI = &(PEB) ([FS:0x30]) MOV ESI, [ESI + 0x0C] ; ESI = PEB->Ldr MOV ESI, [ESI + 0x1C] ; ESI = PEB->Ldr.InInitOrder next_module: MOV EAX, [ESI + 0x08] ; EBP = InInitOrder[X].base_address MOV EDI, [ESI + 0x20] ; EBP = InInitOrder[X].module_name (unicode) MOV ESI, [ESI] ; ESI = InInitOrder[X].flink (next module) CMP [EDI + 12*2], CL ; modulename[12] == 0 ? JNE next_module ; No: try next module. ret } }

以上代码兼容windows任何版本包括windows7

api搜索

常见的api搜索方法有

1:暴力搜索

2:通过函数名称的哈希值来搜索

由于在写本程序的时候没有想到那么麻烦，也没有在网上找参考代码

一下是我自己实现的，比以上两种办法都要琐碎的多，就严格根据

函数名称来搜