shellcode定位kernel32与LoadLibrary

最新推荐文章于 2024-05-01 12:45:00 发布

cmdhack

最新推荐文章于 2024-05-01 12:45:00 发布

阅读量3.3k

点赞数 1

分类专栏： ShellCode 文章标签： function parameters table module windows api

本文链接：https://blog.youkuaiyun.com/cmdhack/article/details/6173074

版权

这段代码展示了如何在Windows中使用Shellcode定位kernel32.dll的基地址以及LoadLibrary API的地址。通过遍历PEB（Process Environment Block）和其导入表，代码首先找到kernel32.dll模块，然后使用strcmp函数比较函数名称来获取LoadLibrary的地址。此方法在不同Windows版本中具有较好的兼容性，但相比暴力搜索和哈希值搜索，代码空间占用较大。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

//定位Kernel32 __declspec(naked) int GetKernel32Base() { __asm { XOR ECX, ECX ; ECX = 0 MOV ESI, FS:[ECX + 0x30] ; ESI = &(PEB) ([FS:0x30]) MOV ESI, [ESI + 0x0C] ; ESI = PEB->Ldr MOV ESI, [ESI + 0x1C] ; ESI = PEB->Ldr.InInitOrder next_module: MOV EAX, [ESI + 0x08] ; EBP = InInitOrder[X].base_address MOV EDI, [ESI + 0x20] ; EBP = InInitOrder[X].module_name (unicode) MOV ESI, [ESI] ; ESI = InInitOrder[X].flink (next module) CMP [EDI + 12*2], CL ; modulename[12] == 0 ? JNE next_module ; No: try next module. ret } }

以上代码兼容windows任何版本包括windows7

api搜索

常见的api搜索方法有

1:暴力搜索

2:通过函数名称的哈希值来搜索

由于在写本程序的时候没有想到那么麻烦，也没有在网上找参考代码<