PE格式: 分析IatHook並實現
Ring 3層的 IAT HOOK 和 EAT HOOK 其原理是通過替換IAT表中函數的原始地址從而實現Hook的，與普通的 InlineHook 不太一樣 IAT Hook 需要充分理解PE檔案的結構才能完成 Hook，接下來將具體分析 IAT Hook 的實現原理，並編寫一個DLL注入檔案，實現 IAT Hook 。
在早些年系統中執行的都是DOS應用，所以DOS頭結構就是在那個年代產生的，那時候還沒有PE結構的概念，不過軟體行業發展到今天DOS頭部分的功能已經無意義了，但為了最大的相容性微軟還是保留了DOS檔案頭，有些軟體在識別程式是不是可執行檔案的時候通常會讀取PE檔案的前兩個位元組來判斷是不是MZ。
上圖就是PE檔案中的DOS部分，典型的DOS開頭ASCII字串MZ幻數，MZ是Mark Zbikowski的縮寫，Mark Zbikowski是MS-DOS的主要開發者之一，很顯然這個人給微軟做出了巨大的貢獻。
在DOS格式部分我們只需要關注標紅部分，標紅部分是一個偏移值000000F8h該偏移值指向了PE檔案中的標綠部分00004550指向PE字串的位置，此外標黃部分為DOS提示資訊，當我們在DOS模式下執行一個可執行檔案時會彈出This program cannot be run in DOS mode.提示資訊。
上圖中在PE字串開頭位置向後偏移1位元組，就能看到黃色的014C此處代表的是機器類別的十六進位製表示形式，在向後偏移1個位元組是紫色的0006代表的是程式中的區段數，繼續向後偏移1位元組會看到藍色的5DB93874此處是一個時間戳，代表的是自1970年1月1日至當前時間的總秒數，繼續向後可看到灰色的000C此處代表的是連結器的具體版本。
上圖中我們以PE字串為單位向後偏移36位元組，即可看到檔案偏移為120處的內容，此處的內容是我們要重點研究的物件。
在檔案FOA偏移為120的位置，可以看到標紅色的地址0001121C此處代表的是程式裝入記憶體後的入口點(虛擬地址)，而緊隨其後的橙色部分00001000就是程式碼段的基址，其後的粉色部分是資料段基址，在資料基址向後偏移1位元組可看到紫色的00400000此處就是程式的建議裝入地址，如果編譯器沒有開啟基址隨機化的話，此處預設就是00400000，開啟隨機化後建議裝入地址與實際地址將不符合。
繼續向下檔案FOA偏移為130的位置，第一處淺藍色部分00001000為區段之間的對齊值，深藍色部分00002000為檔案對其值。
上面只簡單的介紹了PE結構的基本內容，在PE結構的開頭我們知道了區段的數量是6個，接著我們可以在PE字串向下偏移244個位元組的位置就能夠找到區段塊，區塊內容如下：
上圖可以看到，我分別用不同的顏色標註了這六個不同的區段，區段的開頭一般以.xxx為識別符號其所對應的機器碼是2E，其中每個區塊分別佔用40個位元組的儲存空間。
我們以.text節為例子，解釋下不同塊的含義，第一處綠色的位置就是區段名稱該名稱總長度限制在8位元組以內，第二處深紅色標籤為虛擬大小，第三處深紫色標籤為虛擬偏移，第四處藍色標籤為實際大小，第五處綠色標籤為區段的屬性，其它的節區屬性與此相同，此處就不再贅述了。
接著繼續看一下匯入表，匯出表，基址重定位表，IAT表，這些表位於PE字串向後偏移116個位元組的位置，如下我已經將重要的欄位備註了顏色：
首先第一處淺紅色部分就是匯出表的地址與大小，預設情況下只有DLL檔案才會匯出函數所以此處為零，第二處深紅色位置為匯入表地址而後面的黃色部分則為匯入表的大小，繼續向下第三處淺藍色部分則為資源表地址與大小，第四處棕色部分就是基址重定位表的地址，預設情況下只有DLL檔案才會重定位，最下方的藍色部分是IAT表的地址，後面的黃色為IAT表的大小。
此時我們重點關注一下匯入表RVA地址 0001A1E0 我們通過該地址計算一下匯入表對應到檔案中的位置。
計算公式：FOA = 匯入RVA表地址 - 虛擬偏移 + 實際偏移 = > 0001A1E0 - 11000 + 400 = 95E0
通過計算可得知，匯入表位置對應到檔案中的位置是0x95E0，我們直接跟隨過去但此時你會驚奇的發現這裡全部都是0，這是因為Windows裝載器在載入時會動態的獲取第三方函數的地址並自動的填充到這些位置處，我們並沒有執行EXE檔案所以也就不會填充，為了方便演示，我們將程式拖入x64dbg讓其執行起來，然後來看一個重要的結構。
typedef struct _IMAGE_IMPORT_DESCRIPTOR {
union {
DWORD Characteristics;
DWORD OriginalFirstThunk; // 指向匯入表名稱的RVA
} DUMMYUNIONNAME;
DWORD TimeDateStamp; // 預設為0（非重點）
DWORD ForwarderChain; // 預設為0（非重點）
DWORD Name; // 指向DLL名字的RVA
DWORD FirstThunk; // 匯入地址表IAT的RVA
} IMAGE_IMPORT_DESCRIPTOR;
該IMAGE_IMPORT_DESCRIPTOR 匯入表結構的大小為4*5 = 20個位元組的空間，匯入表結構結束的位置通常會通過使用一串連續的4*5個0表示結束，接下來我們將從後向前逐一分析這個資料結構所對應到程式中的位置。
通過上面對匯入表的分析我們知道了匯入表RVA地址為 0001A1E0 此時我們還知道ImageBase地址是00400000兩個地址相加即可得到匯入表的虛擬VA地址0041a1e0，此時我們可以直接通過x64dbg的資料視窗定位到0041a1e0可看到如下地址組合，結合IMAGE_IMPORT_DESCRIPTOR結構來分析。
如上所示，可以看到該程式一共有3個匯入結構分別是紅紫黃色部分，最後是一串零結尾的字串，標誌著匯入表的結束，我們以第1段紅色部分為例，最後一個地址偏移0001A15C對應的就是匯入表中的FirstThunk欄位，我們將其加上ImageBase地址，定位過去發現該地址剛好是LoadIconW的函數地址，那麼我們有理由相信緊隨其後的地址應該是下一個外部函數的地址，而事實也正是如此。
接著我們繼續來分析IMAGE_IMPORT_DESCRIPTOR 匯入結構中的Name欄位，其對應的是第一張圖中的紅色部分0001A54A將該偏移與基址00400000相加後直接定位過去，可以看到0041A54A對應的字串正是USER32.dll動態連結庫，而後面會有兩個00標誌著字串的結束。
最後我們來分析IMAGE_IMPORT_DESCRIPTOR中最複雜的一個欄位OriginalFirstThunk 為什麼說它複雜呢？是因為他的內部並不是一個數值而是巢狀了另一個結構體 IMAGE_THUNK_DATA ，我們先來看一下微軟對該結構的定義：
typedef struct _IMAGE_THUNK_DATA32 {
union {
DWORD ForwarderString; // PBYTE
DWORD Function; // PDWORD
DWORD Ordinal; // 序號
DWORD AddressOfData; // 指向 PIMAGE_IMPORT_BY_NAME
} u1;
} IMAGE_THUNK_DATA32;
typedef IMAGE_THUNK_DATA32 * PIMAGE_THUNK_DATA32;
接著來找到OriginalFirstThunk欄位在記憶體中的位置，由第一張圖可知，圖中的標紅部分第一個四位元組0001A38C 就是它丫的！我們加上基址00400000然後直接懟過去，並結合上方的結構定義研究一下！
該結構中我們需要關注AddressOfData結構成員，該成員中的資料最高位（紅色）如果為1(去掉1)說明是函數的匯出序號，而如果最高位為0則說明是一個指向IMAGE_IMPROT_BY_NAME結構(匯入表)的RVA（藍色）地址，此處因為我們找的是匯入表所以最高位全部為零。
我們以上圖中的第一個RVA地址0001A53E與基址相加，來看下該AddressOfData欄位中所指向的內容是什麼。
上圖黃色部分是編譯器生成的，而藍色部分則為LoadIconW字串與FirstThunk中的0041A15C地址指標是相互對應的，而最後面的00則表明字串的結束，對比以下結構宣告就很好理解了。
typedef struct _IMAGE_IMPORT_BY_NAME {
WORD Hint; // 編譯器生成的
CHAR Name[1]; // 函數名稱，以0結尾的字串
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;
為了能更加充分的理解，我用Excel畫了一張圖，如下所示：
![1379525-20191101100243917-1186713345.png][12]
如上圖IMAGE_IMPORT_DESCRIPTO匯入表結構中的FirstThunk和OriginalFirstThunk分別指向兩個相同的IMAGE_THUNK_DATA結構，其中記憶體INT(Improt Name Table)表中儲存的就是匯入函數的名稱，而IAT(Improt Address Table)表中存放的是匯入函數的地址，他們都共同指向IMAGE_IMPORT_BY_NAME結構，而之所以使用兩份IMAGE_THUNK_DATA結構，是為了最後還可以留下一份備份資料用來反過來查詢地址所對應的匯入函數名，看了這張圖再結合上面的實驗相信你已經理解了！
一個 DLL 檔案對應一個 IMAGE_IMPORT_DESCRIPTOR 結構，而一個 DLL 檔案中有多個函數，那麼需要使用兩個迴圈來進行列舉。外層迴圈列舉所有的 DLL，而內層迴圈列舉所匯入的該 DLL 的所有函數名及函數地址。
#include <windows.h>
#include <Dbghelp.h>
#include <stdio.h>
#pragma comment (lib, "Dbghelp")
int main(int argc, char* argv[])
{
HANDLE hFile = CreateFile(L"c://1.exe", GENERIC_READ, FILE_SHARE_READ,
NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);
HANDLE hMap = CreateFileMapping(hFile, NULL, PAGE_READONLY | SEC_IMAGE, 0, 0, 0);
LPVOID lpBase = MapViewOfFile(hMap, FILE_MAP_READ, 0, 0, 0);
PIMAGE_DOS_HEADER pDosHdr = (PIMAGE_DOS_HEADER)lpBase;
if (pDosHdr->e_magic != IMAGE_DOS_SIGNATURE)
{
UnmapViewOfFile(lpBase);
return -1;
}
PIMAGE_NT_HEADERS pNtHdr = (PIMAGE_NT_HEADERS)((DWORD)lpBase + pDosHdr->e_lfanew);
if (pNtHdr->Signature != IMAGE_NT_SIGNATURE)
{
return -1;
}
DWORD dwNum = 0;
PIMAGE_IMPORT_DESCRIPTOR pImpDes = (PIMAGE_IMPORT_DESCRIPTOR)
ImageDirectoryEntryToData(lpBase, TRUE, IMAGE_DIRECTORY_ENTRY_IMPORT, &dwNum);
PIMAGE_IMPORT_DESCRIPTOR pTmpImpDes = pImpDes;
while (pTmpImpDes->Name)
{
printf("[*] 連結庫名稱: %s \n", (DWORD)lpBase + (DWORD)pTmpImpDes->Name);
PIMAGE_THUNK_DATA thunk = (PIMAGE_THUNK_DATA)(pTmpImpDes->FirstThunk + (DWORD)lpBase);
int index = 0;
while (thunk->u1.Function)
{
if (thunk->u1.Ordinal & IMAGE_ORDINAL_FLAG)
{
printf("匯入序號: %08X \r\n", thunk->u1.Ordinal & 0xFFFF);
}
else
{
PIMAGE_IMPORT_BY_NAME pImName = (PIMAGE_IMPORT_BY_NAME)thunk->u1.Function;
printf("函數名稱: %-30s \t", (DWORD)lpBase + pImName->Name);
DWORD dwAddr = (DWORD)((DWORD *)((DWORD)pNtHdr->OptionalHeader.ImageBase
+ pTmpImpDes->FirstThunk) + index);
printf("匯入地址: 0x%08x \r\n", dwAddr);
}
thunk++; index++;
}
pTmpImpDes++;
}
system("pause");
return 0;
}
經過了上面對匯入表的學習，接著我們就來通過程式碼的方式實現劫持MessageBox函數：
1.首先需要編寫一個DLL檔案，在DLL檔案中找出MessageBox的原函數地址。
2.接著通過程式碼的方式找到DOS/NT/FILE-Optional頭偏移地址。
3.通過DataDirectory[1]陣列得到匯入表的起始RVA並與ImageBase基址相加得到VA。
4.迴圈遍歷匯入表中的IAT表，找到與MessageBox地址相同的4位元組位置。
5.找到後通過VirtualProtect設定記憶體屬性可讀寫，並將自己的函數地址寫入到目標IAT表中。
6.沒有找到的話直接pFirstThunk++迴圈遍歷後面的4位元組位置，直到找到為止。
知道了流程，編寫並理解程式碼就變得非常簡單了，程式碼如下，你可以自行注入到程序中測試效果。
#include <stdio.h>
#include <Windows.h>
typedef int(WINAPI *pfMessageBoxA)(HWND, LPCSTR, LPCSTR, UINT);
pfMessageBoxA OldMessageBoxA = NULL;
int WINAPI MyMessageBoxA(HWND hWnd, LPCSTR lpText, LPCSTR lpCaption, UINT uType)
{
return OldMessageBoxA(hWnd, "hello lyshark", lpCaption, uType);
}
PIMAGE_NT_HEADERS GetLocalNtHead()
{
DWORD dwTemp = NULL;
PIMAGE_DOS_HEADER pDosHead = NULL;
PIMAGE_NT_HEADERS pNtHead = NULL;
HMODULE ImageBase = GetModuleHandle(NULL); // 取自身ImageBase
pDosHead = (PIMAGE_DOS_HEADER)(DWORD)ImageBase; // 取pDosHead地址
dwTemp = (DWORD)pDosHead + (DWORD)pDosHead->e_lfanew;
pNtHead = (PIMAGE_NT_HEADERS)dwTemp; // 取出NtHead頭地址
return pNtHead;
}
void IATHook()
{
PVOID pFuncAddress = NULL;
pFuncAddress = GetProcAddress(GetModuleHandleA("user32.dll"), "MessageBoxA"); // 取Hook函數地址
OldMessageBoxA = (pfMessageBoxA)pFuncAddress; // 儲存原函數指標
PIMAGE_NT_HEADERS pNtHead = GetLocalNtHead(); // 獲取到程式自身NtHead
PIMAGE_FILE_HEADER pFileHead = (PIMAGE_FILE_HEADER)&pNtHead->FileHeader;
PIMAGE_OPTIONAL_HEADER pOpHead = (PIMAGE_OPTIONAL_HEADER)&pNtHead->OptionalHeader;
DWORD dwInputTable = pOpHead->DataDirectory[1].VirtualAddress; // 找出匯入表偏移
DWORD dwTemp = (DWORD)GetModuleHandle(NULL) + dwInputTable;
PIMAGE_IMPORT_DESCRIPTOR pImport = (PIMAGE_IMPORT_DESCRIPTOR)dwTemp;
PIMAGE_IMPORT_DESCRIPTOR pCurrent = pImport;
DWORD *pFirstThunk; //匯入表子表,IAT儲存函數地址表.
//遍歷匯入表
while (pCurrent->Characteristics && pCurrent->FirstThunk != NULL)
{
dwTemp = pCurrent->FirstThunk + (DWORD)GetModuleHandle(NULL);// 找到記憶體中的匯入表
pFirstThunk = (DWORD *)dwTemp; // 賦值 pFirstThunk
while (*(DWORD*)pFirstThunk != NULL) // 不為NULl說明沒有結束
{
if (*(DWORD*)pFirstThunk == (DWORD)OldMessageBoxA) // 相等說明正是我們想要的地址
{
DWORD oldProtected;
VirtualProtect(pFirstThunk, 0x1000, PAGE_EXECUTE_READWRITE, &oldProtected); // 開啟寫許可權
dwTemp = (DWORD)MyMessageBoxA;
// 將MyMessageBox地址拷貝替換
memcpy(pFirstThunk, (DWORD *)&dwTemp, 4);
VirtualProtect(pFirstThunk, 0x1000, oldProtected, &oldProtected); // 關閉防寫
}
pFirstThunk++; // 繼續遞增迴圈
}
pCurrent++; // 每次是加1個匯入表結構.
}
}
BOOL APIENTRY DllMain(HMODULE hModule,DWORD ul_reason_for_call,LPVOID lpReserved)
{
IATHook();
return TRUE;
}
EAT Hook就是針對於匯出表的Hook掛鉤技術，與IAT不同的是它存放的不是函數地址，而是匯出函數地址的偏移，使用時需要加上指定Dll的模組基地址，當Hook掛鉤之後，所有試圖通過輸出表獲取函數地址的行為都會受到影響，EATHook並不會直接生效，他只能影響Hook之後對該函數地址的獲取。EAT Hook的流程如下:
1.首先獲取到DOS頭，並加上偏移得到NT頭，再通過Nt頭得到資料目錄表基地址。
2.資料目錄表中的第0個成員指向匯出表的首地址，直接拿到匯出表的虛擬地址。
3.迴圈查詢匯出表的匯出函數是否與我們的函數名稱一致，一致則取出匯出函數地址。
4.設定匯出函數位置讀寫屬性，將新的匯出函數地址寫入到該位置
程式碼如下所示:
#include <windows.h>
#include <cstdio>
#include <tchar.h>
BOOL EATHook(LPCTSTR szDllName, LPCTSTR szFunName, LPVOID NewFun)
{
DWORD addr = 0, index = 0,dwProtect=0;
HMODULE DllBase = LoadLibrary(szDllName);
if (NULL == DllBase)
return(FALSE);
// 1.首先得到Dos頭，NT頭，資料目錄表
PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)DllBase;
// PIMAGE_OPTIONAL_HEADER pOptHeader = (PIMAGE_OPTIONAL_HEADER)((PBYTE)DllBase + pDosHeader->e_lfanew + 24);
PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);
PIMAGE_OPTIONAL_HEADER pOptHeader = (PIMAGE_OPTIONAL_HEADER)(&pNtHeader->OptionalHeader);
// 2.得到匯出表的虛擬地址
PIMAGE_EXPORT_DIRECTORY pExpDes = (PIMAGE_EXPORT_DIRECTORY)
((PBYTE)DllBase + pOptHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress);
// 3.獲取匯出表的函數地址，函數名稱，函數序號
PULONG pAddressOfFunctions = (PULONG)((PBYTE)DllBase + pExpDes->AddressOfFunctions);
PULONG pAddressOfNames = (PULONG)((PBYTE)DllBase + pExpDes->AddressOfNames);
PUSHORT pAddressOfNameOrdinals = (PUSHORT)((PBYTE)DllBase + pExpDes->AddressOfNameOrdinals);
// 4.迴圈查詢
for (int i = 0; i < pExpDes->NumberOfNames; ++i)
{
index = pAddressOfNameOrdinals[i];
LPCTSTR pFuncName = (LPTSTR)((PBYTE)DllBase + pAddressOfNames[i]);
if (!_tcscmp((LPCTSTR)pFuncName, szFunName))
{
addr = pAddressOfFunctions[index];
break;
}
}
// 5.設定匯出函數位置讀寫屬性，將新的匯出函數地址寫入到該位置
VirtualProtect(&pAddressOfFunctions[index], 0x1000, PAGE_READWRITE, &dwProtect);
pAddressOfFunctions[index] = (DWORD)NewFun - (DWORD)DllBase;
WriteProcessMemory(GetCurrentProcess(), &pAddressOfFunctions[index],
(LPCVOID)((DWORD)NewFun - (DWORD)DllBase), sizeof(NewFun), &dwProtect);
return(TRUE);
}
int __stdcall MyMessageBox(HWND hWnd,LPCTSTR lpText,LPCTSTR lpCaption,UINT uType)
{
printf("hello lyshark \n");
return(0);
}
typedef int (WINAPI* LPFNMESSAGEBOX)(HWND hWnd, LPCTSTR lpText, LPCTSTR lpCaption, UINT uType);
int main(int argc,char *argv[])
{
// 對MessageBoxA進行Eat Hook
EATHook("USER32.dll", "MessageBoxA", MyMessageBox);
// 模擬下次呼叫後就是執行我們的Hook程式碼
LoadLibrary("USER32.dll");
HMODULE hDll = GetModuleHandle("USER32.dll");
LPFNMESSAGEBOX lpMessageBox = (LPFNMESSAGEBOX)GetProcAddress(hDll, "MessageBoxA");
lpMessageBox(NULL, "Hello, EAT Hook", "Info", MB_OK);
return(0);
}
版權宣告：本部落格文章與程式碼均為學習時整理的筆記，文章 [均為原創] 作品，轉載請 [新增出處] ，您新增出處是我創作的動力！