旧书重温：0day2【3】 详细解读PEB法 查找kener32地址

题外话：上一篇文章中的 PEB法查找kerner32地址的方法 对TEB、PEB 、PE结构 知识要求很高，确实在写汇编代码时候小编

感觉自己能力，信手啪啪一顿乱撸，结果一运行，非法访问了，没办法翻阅前人的文章，贴来，但是，感到很羞愧，故有此文章

对 此过程 ，认真学习、分析下

 

正题：

TEB结构

 1 //
 2 // Thread Environment Block (TEB)
 3 //
 4 typedef struct _TEB
 5 {
 6     NT_TIB Tib;                             /* 00h */
 7     PVOID EnvironmentPointer;               /* 1Ch */
 8     CLIENT_ID Cid;                          /* 20h */
 9     PVOID ActiveRpcHandle;                  /* 28h */
10     PVOID ThreadLocalStoragePointer;        /* 2Ch */
11     struct _PEB *ProcessEnvironmentBlock;   /* 30h */
12     ULONG LastErrorValue;                   /* 34h */
13     ULONG CountOfOwnedCriticalSections;     /* 38h */
14     PVOID CsrClientThread;                  /* 3Ch */
15     struct _W32THREAD* Win32ThreadInfo;     /* 40h */
16     ULONG User32Reserved[0x1A];             /* 44h */
17     ULONG UserReserved[5];                  /* ACh */
18     PVOID WOW32Reserved;                    /* C0h */
19     LCID CurrentLocale;                     /* C4h */
20     ULONG FpSoftwareStatusRegister;         /* C8h */
21     PVOID SystemReserved1[0x36];            /* CCh */
22     LONG ExceptionCode;                     /* 1A4h */
23     struct _ACTIVATION_CONTEXT_STACK *ActivationContextStackPointer; /* 1A8h */
24     UCHAR SpareBytes1[0x28];                /* 1ACh */
25     GDI_TEB_BATCH GdiTebBatch;              /* 1D4h */
26     CLIENT_ID RealClientId;                 /* 6B4h */
27     PVOID GdiCachedProcessHandle;           /* 6BCh */
28     ULONG GdiClientPID;                     /* 6C0h */
29     ULONG GdiClientTID;                     /* 6C4h */
30     PVOID GdiThreadLocalInfo;               /* 6C8h */
31     ULONG Win32ClientInfo[62];              /* 6CCh */
32     PVOID glDispatchTable[0xE9];            /* 7C4h */
33     ULONG glReserved1[0x1D];                /* B68h */
34     PVOID glReserved2;                      /* BDCh */
35     PVOID glSectionInfo;                    /* BE0h */
36     PVOID glSection;                        /* BE4h */
37     PVOID glTable;                          /* BE8h */
38     PVOID glCurrentRC;                      /* BECh */
39     PVOID glContext;                        /* BF0h */
40     NTSTATUS LastStatusValue;               /* BF4h */
41     UNICODE_STRING StaticUnicodeString;     /* BF8h */
42     WCHAR StaticUnicodeBuffer[0x105];       /* C00h */
43     PVOID DeallocationStack;                /* E0Ch */
44     PVOID TlsSlots[0x40];                   /* E10h */
45     LIST_ENTRY TlsLinks;                    /* F10h */
46     PVOID Vdm;                              /* F18h */
47     PVOID ReservedForNtRpc;                 /* F1Ch */
48     PVOID DbgSsReserved[0x2];               /* F20h */
49     ULONG HardErrorDisabled;                /* F28h */
50     PVOID Instrumentation[14];              /* F2Ch */
51     PVOID SubProcessTag;                    /* F64h */
52     PVOID EtwTraceData;                     /* F68h */
53     PVOID WinSockData;                      /* F6Ch */
54     ULONG GdiBatchCount;                    /* F70h */
55     BOOLEAN InDbgPrint;                     /* F74h */
56     BOOLEAN FreeStackOnTermination;         /* F75h */
57     BOOLEAN HasFiberData;                   /* F76h */
58     UCHAR IdealProcessor;                   /* F77h */
59     ULONG GuaranteedStackBytes;             /* F78h */
60     PVOID ReservedForPerf;                  /* F7Ch */
61     PVOID ReservedForOle;                   /* F80h */
62     ULONG WaitingOnLoaderLock;              /* F84h */
63     ULONG SparePointer1;                    /* F88h */
64     ULONG SoftPatchPtr1;                    /* F8Ch */
65     ULONG SoftPatchPtr2;                    /* F90h */
66     PVOID *TlsExpansionSlots;               /* F94h */
67     ULONG ImpersionationLocale;             /* F98h */
68     ULONG IsImpersonating;                  /* F9Ch */
69     PVOID NlsCache;                         /* FA0h */
70     PVOID pShimData;                        /* FA4h */
71     ULONG HeapVirualAffinity;               /* FA8h */
72     PVOID CurrentTransactionHandle;         /* FACh */
73     PTEB_ACTIVE_FRAME ActiveFrame;          /* FB0h */
74     PVOID FlsData;                          /* FB4h */
75     UCHAR SafeThunkCall;                    /* FB8h */
76     UCHAR BooleanSpare[3];                  /* FB9h */
77 } TEB, *PTEB;

PEB结构

 1 typedef struct _PEB
 2 {
 3     UCHAR InheritedAddressSpace; // 00h
 4     UCHAR ReadImageFileExecOptions; // 01h
 5     UCHAR BeingDebugged; // 02h
 6     UCHAR Spare; // 03h
 7     PVOID Mutant; // 04h
 8     PVOID ImageBaseAddress; // 08h
 9     PPEB_LDR_DATA Ldr; // 0Ch
10     PRTL_USER_PROCESS_PARAMETERS ProcessParameters; // 10h
11     PVOID SubSystemData; // 14h
12     PVOID ProcessHeap; // 18h
13     PVOID FastPebLock; // 1Ch
14     PPEBLOCKROUTINE FastPebLockRoutine; // 20h
15     PPEBLOCKROUTINE FastPebUnlockRoutine; // 24h
16     ULONG EnvironmentUpdateCount; // 28h
17     PVOID* KernelCallbackTable; // 2Ch
18     PVOID EventLogSection; // 30h
19     PVOID EventLog; // 34h
20     PPEB_FREE_BLOCK FreeList; // 38h
21     ULONG TlsExpansionCounter; // 3Ch
22     PVOID TlsBitmap; // 40h
23     ULONG TlsBitmapBits[0x2]; // 44h
24     PVOID ReadOnlySharedMemoryBase; // 4Ch
25     PVOID ReadOnlySharedMemoryHeap; // 50h
26     PVOID* ReadOnlyStaticServerData; // 54h
27     PVOID AnsiCodePageData; // 58h
28     PVOID OemCodePageData; // 5Ch
29     PVOID UnicodeCaseTableData; // 60h
30     ULONG NumberOfProcessors; // 64h
31     ULONG NtGlobalFlag; // 68h
32     UCHAR Spare2[0x4]; // 6Ch
33     LARGE_INTEGER CriticalSectionTimeout; // 70h
34     ULONG HeapSegmentReserve; // 78h
35     ULONG HeapSegmentCommit; // 7Ch
36     ULONG HeapDeCommitTotalFreeThreshold; // 80h
37     ULONG HeapDeCommitFreeBlockThreshold; // 84h
38     ULONG NumberOfHeaps; // 88h
39     ULONG MaximumNumberOfHeaps; // 8Ch
40     PVOID** ProcessHeaps; // 90h
41     PVOID GdiSharedHandleTable; // 94h
42     PVOID ProcessStarterHelper; // 98h
43     PVOID GdiDCAttributeList; // 9Ch
44     PVOID LoaderLock; // A0h
45     ULONG OSMajorVersion; // A4h
46     ULONG OSMinorVersion; // A8h
47     ULONG OSBuildNumber; // ACh
48     ULONG OSPlatformId; // B0h
49     ULONG ImageSubSystem; // B4h
50     ULONG ImageSubSystemMajorVersion; // B8h
51     ULONG ImageSubSystemMinorVersion; // C0h
52     ULONG GdiHandleBuffer[0x22]; // C4h
53     PVOID ProcessWindowStation; // ???
54 } PEB, *PPEB;

1 typedef struct _PEB_LDR_DATA
2 {
3 　ULONG Length; // +0x00
4 　BOOLEAN Initialized; // +0x04
5 　PVOID SsHandle; // +0x08
6 　LIST_ENTRY InLoadOrderModuleList; // +0x0c
7 　LIST_ENTRY InMemoryOrderModuleList; // +0x14
8 　LIST_ENTRY InInitializationOrderModuleList;// +0x1c
9 } PEB_LDR_DATA,*PPEB_LDR_DATA; // +0x24

1 typedef struct _LIST_ENTRY {
2    struct _LIST_ENTRY *Flink;
3    struct _LIST_ENTRY *Blink;
4 } LIST_ENTRY, *PLIST_ENTRY, *RESTRICTED_POINTER PRLIST_ENTRY;

 

 

原理：在NT内核系统中fs寄存器指向TEB结构，TEB+0x30处指向PEB结构，PEB+0x0c处指向PEB_LDR_DATA结构，
PEB_LDR_DATA+0x1c处存放一些动态链接库地址，第一个指向ntdl.dll,第二个就是kernel32.dll的基地址了

 1 // sty_teb_peb_ker32.cpp : Defines the entry point for the application.
 2 //
 3 
 4 #include "stdafx.h"
 5 
 6 int APIENTRY WinMain(HINSTANCE hInstance,
 7                      HINSTANCE hPrevInstance,
 8                      LPSTR     lpCmdLine,
 9                      int       nCmdShow)
10 {
11      // TODO: Place code here.
12     _asm
13     {
14 
15 
16             mov eax, fs:[0x30] ;PEB的地址 
17             mov eax, [eax + 0x0c] ;Ldr的地址 
18             mov esi, [eax + 0x1c] ;Flink地址 
19             lodsd  
20             mov eax, [eax + 0x08] ;eax就是kernel32.dll的地址 
21     }
22     return 0;
23 }

以上代码生成exe,ollydby调试（我发现这种WinMain生成的exe 更容易发现入口）

当我们走到这一步时，数据窗上面的那个地方提示我们 FS:[0000030]=[7FFDF030]=7FFD5000

可以推测FS就在7FFDF000处，在数据窗体上Alt + G 弹出输入窗口，填入7ffdf000 回车

来到了7FFDF000地址，这就是传说中的TEB了，开头那个12FFB0应该是SEH的入口吧（待考证）

那么7FFDF030 = FS：[30h] 处存放的就是PEB结构体的地址了即7FFD5000 ，我们继续 Alt+G 输入7FFD5000

上图就是PEB结构体了，其中0ch处指向就是PEB_LDR_DATA 结构的所在了，其地址是241ea0

我们继续Alt + G 输入241ea0 回车 ，查看下PEB_LDR_DATA 结构

上图就是PEB_LDR_DATA 结构了，其中在1ch 存放着 LIST_ENTRY InInitializationOrderModuleList

而 LIST_ENTRY 的定义为

1 typedef struct _LIST_ENTRY {
2    struct _LIST_ENTRY *Flink;
3    struct _LIST_ENTRY *Blink;
4 } LIST_ENTRY, *PLIST_ENTRY, *RESTRICTED_POINTER PRLIST_ENTRY;

此结构就是链表就是 dll信息的链表；xp下第一个链表是ntdll.dll 第二个是kernel32.dll的，win7下

下第一个链表是ntdll.dll 第二个是kernelbase.dll的,第三个才是kernel32的。

所以1ch处存放这指向 Flink 的地址，其中Flink也是个指向另一个相同结构的指针
我们继续查看241f58h处的结构

继续查看242020处

在此地址偏移8h的地方存放着kernel32的地址 7c800000h

继续跟进来到7c800000h处

开头MZ标志，3ch处E8， E8h处的PE 是否想起了SEH法搜索kernel32地址法，没错

此为PE结构呀！

梳理下过程：

1： 首先通过段选择字FS在内存中找到的当前线程环境变量TEB；

2： 线程环境结构块偏移位置30h的地方存放着指向进程环境块PEB的指针；

3： 线程环境中便宜位置0ch处的地方存放着指向PEB_LDR_DATA结构体的指针

4： PEB_LDR_DATA结构体偏移位置1ch处的地方存放着指向模块初始化链表的头指针InInitalizationOrderModuleList.

5：模块初始化链表InInitializationOrderModuleList 中按顺序存放着PE载入运行时初始化模块的信息，第一个链表节点是ntdll.dll,第二个链表节点就是kernel32.dll.

6：找到属于kernel32.dll的节点后，在其基础上再偏移0x08就是kernel32.dll在内存中的加载基地址。

7：从kernel32.dll的加载基础算起，偏移3ch的地方就是其PE头。

8：PE头偏移78h的地方存放着指向函数导出表的指针。

 

困了今天到此结束，明天有事不能开电脑了，又赶上周末，抽空再说吧！

 

 

----------------------------------------------------

| QQ252738331

| Q群： 104132152（群名称是缓冲区溢出|汇编|逆向）

| 微博： http://t.qq.com/zhenw0

----------------------------------------------------