1）获取ntoskrnl.exe模块地址的几种办法.docxVIP

项目工程类经典参考学习文献

项目工程类经典参考学习文献

标题:【总结】获取内核ntoskrnl.exe基地址的几种常见办法

作者:combojiang

时间:2008-01-17,09:38

链接::showthread.php?t=58447

如果大家写过shellcode一定还记得，shellcode中开头要找kernel32.dll模块的内存加载地址。

同样，如果大家要写一个内核的类似东东的话，第一步也是要找出ntoskrnl.exe模块的内存加载位置。有三种常见办法在这里咱们大体描述下：

1。利用ZwQuerySystemInformation?来检索加载的模块，从加载模块里面搜索出ntoskrnl.exe模块。例子如：:showthread.php?t=58199

在开头部分就是利用ZwQuerySystemInformation?来检所ntoskrnl.exe模块的内存加载位置。

2。通过驱动DriverEntry函数的第一个参数，即DriverObject。在DriverObject结构体中有一项

???DriverSection成员指向LDR_DATA_TABLE_ENTRY结构，通过遍历这张表得到ntoskrnl的基址和大小。例子如：:showthread.php?t=56042

3。通过驱动DriverEntry函数的返回地址，根据系统布局图，如下：

??

?因此，我们可以在开始的位置搜索ntosknrl。我们的驱动程序就是加载在系统布局图到a0000000h的区间中。

完整代码如下：

.386

.model?flat,?stdcall

option?casemap:none

include?GetKernelBase.inc

.code

GetKernelBase?proc?uses?esi?edi?ebx?dwSomewhereInKernel:DWORD

??xor?edi,?edi??????;?assume?error

??mov?eax,?MmSystemRangeStart

??mov?eax,?[eax]

??mov?eax,?[eax]??????????????????;?eax?=

;??#define?PAGE_SHIFT??????12

;??#define?PAGE_SIZE???????(1UL??PAGE_SHIFT)??4k为单位

??.if?dwSomewhereInKernel?=?eax

????mov?esi,?dwSomewhereInKernel

????and?esi,?not?(PAGE_SIZE-1)??????;?start?down-search?from?here

????mov?ebx,?esi

????sub?ebx,?eax??????????;?????-?MmSystemRangeStart

????shr?ebx,?PAGE_SHIFT????????;?Number?of?pages?to?search

????.while?ebx

??????invoke?MmIsAddressValid,?esi

??????.break?.if?al?==?FALSE???????;?bad

??????mov?eax,?[esi]

??????.if?eax?==?00905A4Dh??????;?MZ?signature

????????mov?edi,?esi

????????.break

??????.endif

??????sub?esi,?PAGE_SIZE????????;?next?page?down

??????dec?ebx????????????;?next?page

????.endw

??.endif

??mov?eax,?edi

??ret

GetKernelBase?endp

DriverEntry?proc?pDriverObject:PDRIVER_OBJECT,pusRegistryPath:PUNICODE_STRING

????????lea?ecx,?[ebp][4]??????；?得到DriverEntry返回地址

??push?ecx

??invoke?MmIsAddressValid,?ecx

??pop?ecx

??.if?al

????mov?ecx,?[ecx]??????????;?Get?return?address?from?stack

????invoke?GetKernelBase,?ecx

????.if?eax?!=?0

??????invoke?Dbg