技术背景

在病毒查杀,应用安全对抗,静态逆向应用,动态逆向应用,最重要的对象就是,应用程序的内存数据

  1. 病毒查杀对抗需要获取查杀对象的内存数据进行和病毒库的特征做比对。

  2. 应用安全对抗需要保护自身的内存数据不被转存。

  3. 静态逆向应用遇到应用程序加密保护,那这用IDA就歇菜了,这时获取解密后内存数据就非常重要。

  4. 动态逆向应用ollydbg进行动态调试应用主要还是调试运行时释放的内存数据。

综上:应用程序的重重之中就是内存数据,我们就来用代码实现获取应用程序的 “制空权”。


                                效果展示

下面展示的是,读取并操作,正在运行的ClearData进程的内存数据。

  1. 图片第一部分是正确读取到的内存数据,并写入到新创建的文件里面,文件大小和进程的原始文件是一致的。

  2. 图片第二部分是工作窗口,展示的是读取操作的一些信息。

  3. 图片第三部分展示,正在运行的进程信息。



                                    代码实现

功能:获取正在运行进程的Pid

实现原理:通过创建一个系统快照,进行遍历所有的进程名称。通过比对进程

名称,来获取进程的PID值。



功能:获取正在运行进程的指定模块的基地址数据。

实现步骤:通过PEB获取进程所加载的模块。

1、获取正在运行指定进程的_PEB结构

2、通过_PEB的Ldr成员获取_PEB_LDR_DATA结构

3、通过_PEB_LDR_DATA的InMemoryOrderModuleList成员获取_LIST_ENTRY结构。

4、通过_LIST_ENTRY的Flink成员获取_LDR_DATA_TABLE_ENTRY结构,注意:这里的Flink指向的是_LDR_DATA_TABLE_ENTRY结构中的InMemoryOrderLinks成员,因此需要计算真正的_LDR_DATA_TABLE_ENTRY起始地址。

5、输出_LDR_DATA_TABLE_ENTRY的BaseDllName或FullDllName成员信息。



功能:获得到整个进程的内存数据

实现步骤:

1、打开要操作的指定进程,并获取进程的句柄。

2、通过读取PE文件结构方式,进行读取正在运行的内存数据:

        DosHeader->NtHeader->区段表。

3、将读取到的内存数据,写入到文件。


        

                                            知识清单    


                                            PE结构概述

PE(Portable Execute)文件,它是Windows下可执行文件的总称,也是windows系统下标准的文件格式。

在window系统上常见的后缀为DLL,EXE,OCX,SYS等文件都是属于PE文件但事实上,一个文件是否是PE文件与其扩展名无关,PE文件可以是任何扩展名。


PE文件结构概括起来就是:它主要由 “头”(DOS头,NT头,可选头)和“节”(text节,data节)组成。


在代码中去实现,判断一个可执行文件,是否是PE文件结构。主要有两个判断:

1.DOS头的魔法值字段是否是 “MZ” ,也就是 0x5A4D 值。

2.NT头的签名字段信息是否是 “PE00” ,也就是 0x00004550 值。


下图是一个标准PE文件结构图



                PEB结构概述

PEB结构(Process Envirorment Block Structure):进程环境信息块。

PEB:它主要是用于存放进程信息,每个进程都有属于自己的PEB信息

PEB:它位于用户地址空间。

                            调用系统未导出函数方法



            关键函数及结构解析

1.ReadProcessMemory函数



 2. _LIST_ENTRY结构


3. _PEB_LDR_DATAS结构



4. _LDR_MODULE 结构



温馨提示! 你需要支付 ¥0.00 元后才能查看付费内容 微信支付 支付宝支付 余额支付
点赞(1) 打赏

Comment list 共有 0 条评论

暂无评论
立即
投稿

微信公众账号

微信扫一扫加关注

发表
评论
返回
顶部