Вызов функции в другом процессе

ПРЕДУПРЕЖДЕНИЕ

В описании DllMain сказано, что некоторые функции, в том числе CreateThread, из неё вызывать нельзя. Объяснение «почему они говорят, что нельзя» можно найти у Рихтера (в русском четвёртом издании это глава «DLL: более сложные методы программирования», раздел «Как система упорядочивает вызовы DllMain»), у него же написано, что на самом деле можно, если осторожно. :) Просто при создании потока надо не забывать, что его выполнение начнётся не раньше, чем текущий поток покинет DllMain.

ПРИМЕЧАНИЕ

«Так или иначе» означает, что DLL может быть загружена любым способом. Например, это может быть advapi32.DLL, которую процесс-жертва грузит сам. Если вы хотите, чтобы исполнялся ваш код, скорее всего, DLL придётся внедрять. Описание внедрения DLL смотрите в дополнительных источниках в конце статьи.

ПРИМЕЧАНИЕ

Существует платная реализация CreateRemoteThread для Windows 9x, смотрите сайт http://www.apihooks.com раздел «PrcHelp».

ПРИМЕЧАНИЕ

Проще всего получить все эти права, создав процесс, но, являясь достаточно привилегированным пользователем, можно получить необходимый доступ и к существующему процессу.

ПРИМЕЧАНИЕ

Эти функции являются частью Process Status API (PSAPI), поэтому будут работать только в линейке Windows NT/2000/XP. Но поскольку мы уже и так используем CreateRemoteThread, терять нам нечего.

ПРЕДУПРЕЖДЕНИЕ

Вообще-то, как показывает практика, возвращаемое значение LoadLibrary – это не совсем адрес загрузки DLL. В некоторых случаях в младших битах находятся какие-то флаги. Например, при вызове функции LoadLibraryEx с флагом LOAD_LIBRARY_AS_DATAFILE младший бит возвращаемого значения всегда будет установлен в 1.

Выход достаточно прост: поскольку при загрузке модуля в адресном пространстве создаётся регион, а адреса начала регионов должны быть кратны 64К, для получения «настоящего» адреса загрузки нужно просто обнулить два младших байта.

ПРИМЕЧАНИЕ

Понятно, что если DLL в обоих процессах загружена по одному адресу, то и адреса функций будут совпадать. А поскольку (в нормальных, не слишком выпендривающихся процессах) системные DLL грузятся по одним и тем же адресам, адреса системных функций во всех процессах одинаковы.

Именно на этом основана технология внедрения DLL через вызов LoadLibrary в другом процессе.

ПРИМЕЧАНИЕ

PE-формат достаточно сложен, но, к счастью, полностью он нам и не нужен. Если вас интересует более подробное описание, смотрите дополнительные источники в конце статьи.

typedef struct _IMAGE_DOS_HEADER { // DOS .EXE header

...

LONG e_lfanew; // File address of new exe header

} IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

typedef struct _IMAGE_NT_HEADERS {

...

IMAGE_OPTIONAL_HEADER32 OptionalHeader;

} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

typedef struct _IMAGE_OPTIONAL_HEADER {

...

IMAGE_DATA_DIRECTORY DataDirectory[IMAGE_NUMBEROF_DIRECTORY_ENTRIES];

} IMAGE_OPTIONAL_HEADER32, *PIMAGE_OPTIONAL_HEADER32;

typedef struct _IMAGE_DATA_DIRECTORY {

DWORD VirtualAddress; // RVA (смещение от начала файла) секции

DWORD Size; // Размер секции

} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

typedef struct _IMAGE_EXPORT_DIRECTORY {

...

DWORD Base;

DWORD NumberOfFunctions;

DWORD NumberOfNames;

DWORD AddressOfFunctions; // RVA from base of image

DWORD AddressOfNames; // RVA from base of image

DWORD AddressOfNameOrdinals; // RVA from base of image

} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

ПРЕДУПРЕЖДЕНИЕ

Во-первых, элементы этого массива имеют тип WORD и размер 2 байта.

Во-вторых, MSDN и статья Мэтта Питрека «Форматы PE и COFF объектных файлов» содержат одну и туже ошибку, относящуюся к интерпретации содержимого этого массива. Правильно написано в статье Максима М. Гумерова «Загрузчик PE-файлов» и здесь :)

// Ищем в массиве имён функций совпадающее имя

int nameIndex = FindFunctionName(AddressOfNames, NumberOfNames, name);

// Получаем соответствующий имени индекс функции

WORD funcIndex = AddressOfNameOrdinals[nameIndex];

// Получаем RVA функции

DWORD funcRVA = AddressOfFunctions[funcIndex];

ПРЕДУПРЕЖДЕНИЕ

По MSDN и Питреку, последняя строчка алгоритма должна выглядеть так:

DWORD funcRVA = AddressOfFunctions[funcIndex - Base];

Где Base – базовое значение ординала. Как показывает практика, Base вычитать не надо.

// Определяет RVA секции экспорта

int GetExportSectionRVA(HANDLE hProcess, const void* baseAddress)

{

// Читаем DOS-заголовок

IMAGE_DOS_HEADER dos_header;

ReadProcessMemory(

hProcess,

baseAddress,

&dos_header,

sizeof(dos_header),

NULL);

// Читаем PE-заголовок

IMAGE_NT_HEADERS pe_header;

ReadProcessMemory(

hProcess,

reinterpret_cast<const BYTE*>(baseAddress) + dos_header.e_lfanew,

&pe_header,

sizeof(pe_header),

NULL);

// Смещение секции экспорта

return pe_header.OptionalHeader.DataDirectory

[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress;

}

// Ищет в массиве имён функций заданное имя, возвращает индекс или –1

int FindName(

HANDLE hProcess,

const void* baseAddress,

DWORD AddressOfNames,

DWORD count,

const char* name)

{

// Для сравнения имени его нужно прочитать, для этого нужно знать размер

int size = lstrlenA(name) + 1;

std::auto_ptr<char> candidate(new char[size]);

// Перебираем имена в массиве имён функций

for (int index = 0; index < count; index++)

{

DWORD nameRVA;

// Читаем адрес начала строки

ReadProcessMemory(

hProcess,

reinterpret_cast<const BYTE*>(baseAddress)

+ AddressOfNames + index * sizeof(DWORD),

&nameRVA,

sizeof(nameRVA),

NULL);

// Читаем строку

ReadProcessMemory(

hProcess,

reinterpret_cast<const BYTE*>(baseAddress) + nameRVA,

candidate.get(),

size,

NULL);

if (strcmp(name, candidate.get()) == 0)

{

// Она! Сваливаем :)

return index;

}

}

// Такой функции нет

return -1;

}

// Находит нужную функцию в указанной DLL в указанном процессе.

void* GetProcAddress(HANDLE hProcess, HMODULE hLib, const char* name)

{

// Нам нужен именно адрес загрузки! А результат работы

// LoadLibrary бывает иногда неожиданным..

char* baseAddress = reinterpret_cast<char*>

(reinterpret_cast<DWORD>(hLib) & 0xFFFF0000);

// Смещение секции экспорта

int export_offset = GetExportSectionRVA(hProcess, baseAddress);

if (export_offset <= 0)

{

// Какие-то проблемы с экспортом

return NULL;

}

// Читаем заголовок секции экспорта

IMAGE_EXPORT_DIRECTORY export;

ReadProcessMemory(

hProcess,

baseAddress + export_offset,

&export,

sizeof(export),

NULL);

// Индекс в массиве функций

WORD funcIndex = -1;

if (reinterpret_cast<DWORD_PTR>(name) > 0x0000ffff)

{

// Функция экспортируется по имени. Ищем имя

int nameIndex = FindName(

hProcess,

baseAddress,

export.AddressOfNames,

export.NumberOfNames,

name);

if (nameIndex < 0)

{

// Такой функции нет

return NULL;

}

// Читаем индекс (они двухбайтные!!!)

ReadProcessMemory(

hProcess,

baseAddress + export.AddressOfNameOrdinals

+ nameIndex * sizeof(WORD),

&funcIndex,

sizeof(funcIndex),

NULL);

}

else

{

// Функция экспортируется по ординалу

WORD funcOrdinal = reinterpret_cast<DWORD>(name);

if ((funcOrdinal < export.Base)

|| (funcOrdinal >= export.Base + export.NumberOfFunctions))

{

// Такой функции нет

return NULL;

}

// Индекс это ординал минус база

funcIndex = funcOrdinal - export.Base;

}

if ((funcIndex < 0) || (funcIndex >= export.NumberOfFunctions))

{

// Такой функции нет

return NULL;

}

// Читаем адрес

DWORD funcRVA;

ReadProcessMemory(

hProcess,

baseAddress + export.AddressOfFunctions + funcIndex * sizeof(DWORD),

&funcRVA,

sizeof(funcRVA),

NULL);

// Результат это базовый адрес + RVA

return (baseAddress + funcRVA);

}

ПРИМЕЧАНИЕ

Для оптимизации можно было бы сначала скопировать в свой процесс всю секцию экспорта (размер секции хранится в IMAGE_NT_HEADERS::OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].Size), а потом уже её разбирать. Но, поскольку заметных глазу задержек не возникает, я остановился на текущей реализации.

ПРИМЕЧАНИЕ

Чтобы это действительно работало, надо положить все три исполняемых модуля в один каталог.

namespace OtherProcess

{

//

// Вызывает функцию из заданного процесса, возвращает

// описатель потока, который эту функцию выполняет

HANDLE AsynchronousCall(

HANDLE hProcess,

void* address,

void* parameter,

DWORD* pid);

//

// Вызывает функцию из заданного процесса, дожидается завершения её работы

bool SynchronousCall(

HANDLE hProcess,

void* address,

void* parameter,

DWORD* result);

//

// Загружает DLL в указанный процесс

HMODULE LoadLibrary(HANDLE hProcess, const TCHAR* path);

//

// Выгружает DLL в указанном процессе

void FreeLibrary(HANDLE hProcess, HMODULE hLib);

//

// Находит нужную функцию в указанной DLL в указанном процессе

void* GetProcAddress(HANDLE hProcess, HMODULE hLib, const char* name);

};