получение адреса kernel32.dll в windows 7

Сейчас на форуме: tyns777, zds, JustLife (+3 невидимых)

Посл.ответ	Сообщение
SYNAPSiS Ранг: 22.3 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 11 июня 2009 18:42 · Личное сообщение · #1 Надо получить адрес kernel32.dll в windows 7 без использования каких-либо api-вызовов. Используемая ранее конструкция Code: mov eax, fs:[18h] ; eax hold TIB mov eax, dword ptr[eax+30h];eax holds linear address of PEB mov eax, dword ptr[eax+0ch];PEB_LDR_DATA mov eax, dword ptr[eax+1ch] mov eax, dword ptr[eax] mov eax, dword ptr[eax+8];eax holds kernel32 address получает почему-то адрес KernelBase.dll где-то примерно в [eax-118] будет адрес kernel32.dll (т.к. он меняется от запуска к запуску проги) Есть ли надёжный метод получения адреса kernel32.dll который работал бы в windows 7 ?

progopis Ранг: 101.0 (ветеран), 344thx Активность: 1.15↘0 Статус: Участник	Создано: 11 июня 2009 18:48 · Поправил: Модератор · Личное сообщение · #2 А если цепочку SEH раскрутить? Вроде этот метод должен быть универсален. Вообще лучше такой вопрос к вирмейкерам задавать, а их здесь не любят, столобыть их тут и нет (официально как минимум).
DaRKSiDE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 11 июня 2009 18:54 · Личное сообщение · #3 Пусть Clerk-а спросит... ;) Он точно знает! ----- aLL rIGHTS rEVERSED!
SYNAPSiS Ранг: 22.3 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 11 июня 2009 19:01 · Личное сообщение · #4 Если вы думаете что я вирус пишу, то вы неправы, мне надо исправить арминлайновский хендлер наномитов для работы в win7
Coderess Ранг: 355.4 (мудрец), 55thx Активность: 0.32↘0 Статус: Uploader 5KRT	Создано: 11 июня 2009 19:24 · Поправил: Coderess · Личное сообщение · #5 Я полагаю, kernel32 по прежнему вызывает исполняемые файлы, следователь на верхушке стэка лежит адресу, где-то в кернел, берешь выравниваешь его на страницу и парсишь по MZ/PE00 Протестируй мой код (Под XP нормально работает): Code: main: call delta delta: pop ebp sub ebp, offset delta mov esi, dword ptr[esp] and esi, 0FFFF0000h mov ecx, 5 call get_kernel ret get_kernel: __1:test ecx, ecx jz Fail cmp word ptr [esi], "ZM" jz CheckPE __2:sub esi,10000h dec byte ptr[ebp + ecx] jmp __1 CheckPE:mov edi, dword ptr[esi + 3Ch] ; --> получаем смещение (находится оно по адресу Esi + 3ch add edi, esi ; --> плюсуем к нему базу модуля cmp dword ptr[edi], "EP" ; --> проверяем сигнатуру PE jz Succ jmp __2 Fail: xor esi, esi Succ:xchg eax, esi ret end main После выполнения в Eax база кернела ----- Gutta cavat lapidem. Feci, quod potui. Faciant meliora potentes
nobodyzzz Ранг: 10.9 (новичок) Активность: 0=0 Статус: Участник	Создано: 11 июня 2009 20:39 · Личное сообщение · #6 а чем собственно неустраивает KernelBase.dll экспорт почти такойже как и в kernel32.dll
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 11 июня 2009 21:36 · Поправил: Clerk · Личное сообщение · #7 Если при загрузке kernek32.dll в LdrpInitializeProcess() будет возвращена ошибка STATUS_DLL_NOT_FOUND, то выполняется загрузка kernelbase.dll: Code: LdrpInitializeProcess: ... 008AA005 movzx eax,word ptr ds:[eax+5C] ; IMAGE_NT_HEADERS.OptionalHeader.Subsystem 008AA009 cmp ax,2 ; IMAGE_SUBSYSTEM_WINDOWS_GUI 008AA00D je short ntdll_1.008AA015 008AA00F cmp ax,3 ; IMAGE_SUBSYSTEM_WINDOWS_CUI 008AA013 jnz short ntdll_1.008AA078 008AA015 lea eax,dword ptr ss:[ebp-C8] 008AA01B push eax 008AA01C mov esi,ntdll_1.008AA0CC ; UNICODE "kernel32.dll" 008AA021 push esi 008AA022 push edi 008AA023 push edi 008AA024 call ntdll_1.LdrLoadDll 008AA029 cmp eax,edi 008AA02B mov dword ptr ss:[ebp-68],eax 008AA02E jl ntdll_1.00879035 008AA034 push ntdll_1.0094320C 008AA039 push edi 008AA03A push ntdll_1.008ADA44 ; ASCII "BaseThreadInitThunk" 008AA03F push dword ptr ss:[ebp-C8] 008AA045 call ntdll_1.LdrGetProcedureAddress ; LdrGetProcedureAddress 008AA04A cmp eax,edi 008AA04C mov dword ptr ss:[ebp-68],eax 008AA04F jl ntdll_1.008ED206 008AA055 push ntdll_1.009431C8 008AA05A push edi 008AA05B lea eax,dword ptr ss:[ebp-E0] 008AA061 push eax 008AA062 push dword ptr ss:[ebp-C8] 008AA068 call ntdll_1.LdrGetProcedureAddress ; LdrGetProcedureAddress 008AA06D cmp eax,edi 008AA06F mov dword ptr ss:[ebp-68],eax 008AA072 jl ntdll_1.008ED245 008AA078 push ntdll_1.00943300 ~~~ 00879035 cmp dword ptr ss:[ebp-68],C0000135 ; STATUS_DLL_NOT_FOUND 0087903C je ntdll_1.008ED2DC 00879042 cmp dword ptr ss:[ebp-68],edi 00879045 jge ntdll_1.008AA078 ~~~ 008ED2DC lea eax,dword ptr ss:[ebp-C8] 008ED2E2 push eax 008ED2E3 push ntdll_1.008ED398 ; UNICODE "kernelbase.dll" 008ED2E8 push edi 008ED2E9 push edi 008ED2EA call ntdll_1.LdrLoadDll 008ED2EF mov dword ptr ss:[ebp-68],eax 008ED2F2 jmp ntdll_1.00879042 У меня нет рабочей системы, тока ядро и модуля поддержки валяются, kernelbase.dll тоже нет, буду благодарен если кто зальёт.
Jupiter Ранг: 605.2 (!), 341thx Активность: 0.47↘0.25 Статус: Модератор Research & Development	Создано: 11 июня 2009 22:32 · Личное сообщение · #8 ещё инфа по вин7: win7dll.info (проект Nir Sofer) Windows 7 Kernel Architecture Changes - api-ms-win-core files Windows 7 DLL File Information - kernel32.dll ----- EnJoy!
Ratinsh Ранг: 191.8 (ветеран), 46thx Активность: 0.17↘0 Статус: Участник	Создано: 12 октября 2009 18:46 · Личное сообщение · #9 не знаю куда, отдельную тему не хочется, может здесь www.microsoft.com/whdc/DevTools/WDK/WDKdocs.mspx Updated: Oct 2, 2009 download.microsoft.com/download/3/3/C/33CFEF4D-21DA-4229-BC17-3EAC7A7EABE1/WDKDocs_10022009.EXE в формате chm пока что-то нет, предыдущий download.microsoft.com/download/3/3/C/33CFEF4D-21DA-4229-BC17-3EAC7A7EABE1/wdkchm_08072009.chm download.microsoft.com/download/3/3/C/33CFEF4D-21DA-4229-BC17-3EAC7A7EABE1/wdkchm.chm
protagonistic Ранг: 1.0 (гость) Активность: 0=0 Статус: Участник	Создано: 11 января 2010 14:08 · Личное сообщение · #10 Code: cld ;; clear the direction flag for the loop xor edx, edx ;; zero edx mov edx, [fs:edx+0x30] ;; get a pointer to the PEB mov edx, [edx+0x0C] ;; get PEB->Ldr mov edx, [edx+0x14] ;; get the first module from the InMemoryOrder module list next_mod: mov esi, [edx+0x28] ;; get pointer to modules name (unicode string) push 24 ;; push down the length we want to check pop ecx ;; set ecx to this length for the loop xor edi, edi ;; clear edi which will store the hash of the module name loop_modname: xor eax, eax ;; clear eax lodsb ;; read in the next byte of the name cmp al, 'a' ;; some versions of Windows use lower case module names jl not_lowercase sub al, 0x20 ;; if so normalise to uppercase not_lowercase: ror edi, 13 ;; rotate right our hash value add edi, eax ;; add the next byte of the name to the hash loop loop_modname ;; loop until we have read enough cmp edi, 0x6A4ABC5B ;; compare the hash with that of KERNEL32.DLL mov ebx, [edx+0x10] ;; get this modules base address mov edx, [edx] ;; get the next module jne next_mod ;; if it doesn't match, process the next module mov eax, ebx ret
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 11 января 2010 18:07 · Поправил: mak · Личное сообщение · #11 Давно тема была уже , там полный набор , а эту можно закрыть --> Link <-- П.С. дата поста доисторическая ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 11 января 2010 19:02 · Личное сообщение · #12 Топик как бы староват и вряд ли уже актуален, закрою.

Для печати