PE资料和COFF文件格式分析——导出表的应用——通过导出表隐性加载DLL
通过导出表隐性加载DLL?导出表?加载DLL?还隐性?是的。如果觉得不可思议,可以先看《PE文件和COFF文件格式分析——导出表》中关于“导出地址表”的详细介绍。(转载请指明出于breaksoftware的csdn博客)
这儿再废话几句,导出地址表,可能保存两种信息:
1 保存的函数入口的RVA
2 保存的是指向函数真正实现的所在的DLL名和函数名字符串组合(NTDLL.RtlAddVectoredExceptionHandler)
一般情况下,我们遇到的是1这种情况。这种场景没什么好说的。我也想不到这个有什么好利用的,那么2又如何可以被利用呢?
Exe调用一个DLL中的方法,有两种方法:
1 在Exe导入表中加入DLL中函数信息,例如我们程序中调用GetProcAddress这类的API就是因为我们程序默认的导入表中包含了Kernel32.dll导出函数GetProcAddress信息。
2 在逻辑中通过LoadLibrary动态载入一个DLL,然后通过GetProcAddress获取函数地址。这样我们在Exe的导入表中是看不到这个DLL的信息的。
那么我是怎么设计”通过导出表隐性加载DLL“方案的呢?
我设计了三个文件:DllBase.dll是我们要隐性加载的DLL;DllTop.dll是我们将要修改的DLL文件,MainExe.exe直接加载这个DLL,从而实现隐性加载DllBase.dll并调用它的导出函数。
DllBase导出两个函数
LIBRARY "DllBase" EXPORTS Ret1 Ret2这两个函数的实现更简单
int Ret1() { return 1; } int Ret2() { return 2; }
DllTop导出三个函数
LIBRARY "DllTop" EXPORTS Ret0 Occupying001 Occupying002其实现是
int Ret0(){ return 0; }; void Occupying001(){ return; } void Occupying002(){ return; }
注意Occupying001和Occupying002这两个函数,他们的返回类型是void。
注意上图和代码,可以发现DllTop.dll和DllBase.dll不存在任何关系。
现在我们要对DllTop.dll文件动手术,我会分别将Occupying001和Occupying002的导出地址指向DllBase.dll中的Ret1和Ret2。我保留TopDll.dll的一个副本为DllTop_Real.dll。具体的修改请看下图
修改后,我们将其命名为TopDll_Modify.dll。
新修改的DLL文件,我们用View Denpendencies查看下
可以看到修改后的DLL并没有使DllBase.dll出现在导入表中,我们还是好好的隐藏着。
为了做出结果比较,我将在MainExe中分别对DllTop_Real.dll和DllTop_Modify.dll进行加载并调用其函数。
typedef int (WINAPI *PRetN)(); void TopDll( LPCSTR lpFileName ){ PRetN pRet0 = NULL; PRetN pRet1 = NULL; PRetN pRet2 = NULL; HMODULE hDllTop = NULL; hDllTop = LoadLibraryA( lpFileName ); if ( NULL != hDllTop ) { pRet0 = (PRetN)GetProcAddress( hDllTop, "Ret0" ); if ( NULL != pRet0 ) { printf("DllTop Ret0:%d\n", pRet0()); } pRet1 = (PRetN)GetProcAddress( hDllTop, "Occupying001" ); if ( NULL != pRet1 ) { printf("DllTop Occupying001:%d\n", pRet1()); } pRet2 = (PRetN)GetProcAddress( hDllTop, "Occupying002" ); if ( NULL != pRet2 ) { printf("DllTop Occupying002:%d\n", pRet2()); } FreeLibrary( hDllTop); hDllTop = NULL; } } void BaseDll( LPCSTR lpFileName ) { PRetN pRet0 = NULL; PRetN pRet1 = NULL; PRetN pRet2 = NULL; HMODULE hDllBase = NULL; hDllBase = LoadLibraryA( lpFileName ); if ( NULL != hDllBase ) { pRet1 = (PRetN)GetProcAddress( hDllBase, "Ret1" ); if ( NULL != pRet1 ) { printf("DllBase Ret1:%d\n", pRet1()); } pRet2 = (PRetN)GetProcAddress( hDllBase, "Ret2" ); if ( NULL != pRet2 ) { printf("DllBase Ret2:%d\n", pRet2()); } FreeLibrary( hDllBase); hDllBase = NULL; } } int _tmain(int argc, _TCHAR* argv[]) { TopDll( "DllTop_Real.dll" ); TopDll( "DllTop_Modify.dll" ); BaseDll( "DllBase.dll" ); system("pause"); return 0; }其运行结果是
看!我们调用DllTop_Real.dll中函数时,由于Occupying001和Occupying002都是无返回值的,所以返回的结果是乱乱的数据。 我们调用DllTop_Modify.dll中函数时,Occupying001和Occupying002分别返回了1和2,这两个结果是DllBase.dll中Ret1和Ret2的执行结果!这样我们就是实现了通过导出表隐性加载DLL的方法。是不是很有意思?附上工程地址
最后我们看下3个DLL在内存中存在的情况
1
2
3