关于hook ntdll 代码详解

UNHOOK ntdll

DWORD unhook() {//创建该结构体用于获取该dll的信息 将所有成员变量初始化为零MODULEINFO mi = {};//获取当前内存的ntdll的句柄HMODULE ntdllModule = GetModuleHandleA("ntdll.dll");//HANDLE(-1)表示获取当前进程的句柄 该函数用于获取该进程的信息GetModuleInformation(HANDLE(-1), ntdllModule, &mi, sizeof(mi));//获取该ntdll的基地址LPVOID ntdllBase = (LPVOID)mi.lpBaseOfDll;//调用CreateFileA打开新的一个ntdllHANDLE ntdllFile = CreateFileA("c:\\windows\\system32\\ntdll.dll", GENERIC_READ, FILE_SHARE_READ, NULL, OPEN_EXISTING, 0, NULL);//将该新的ntdll映射到内存中 但是还没有映射到当前进程中HANDLE ntdllMapping = CreateFileMapping(ntdllFile, NULL, PAGE_READONLY | SEC_IMAGE, 0, 0, NULL);//MapViewOfFile将文件映射的视图映射到调用进程的地址空间中 也就是当前的进程LPVOID ntdllMappingAddress = MapViewOfFile(ntdllMapping, FILE_MAP_READ, 0, 0, 0);//获取该ntdll的PE结构的DOS头 （旧的）PIMAGE_DOS_HEADER hookedDosHeader = (PIMAGE_DOS_HEADER)ntdllBase;PIMAGE_NT_HEADERS hookedNtHeader = (PIMAGE_NT_HEADERS)((DWORD_PTR)ntdllBase + hookedDosHeader->e_lfanew);for (WORD i = 0; i < hookedNtHeader->FileHeader.NumberOfSections; i++) {//每个节的头是固定大小且是连续的。一个节头挨着一个节头的比如rdata的节头完了之后就是紧挨着data节头的。IMAGE_SIZEOF_SECTION_HEADER确实是40字节PIMAGE_SECTION_HEADER hookedSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD_PTR)IMAGE_FIRST_SECTION(hookedNtHeader) + ((DWORD_PTR)IMAGE_SIZEOF_SECTION_HEADER * i));//获取节的头之后判断name是不是等于text，因为要覆盖的是text的内容 hookedSectionHeader->Name获取的是字节不是char 因此要转为char strcmp要求是char *if (!strcmp((char*)hookedSectionHeader->Name, (char*)".text")) {DWORD oldProtection = 0;//VirtualProtect修改旧的 ntdll的保护属性为可读可写可执行（PAGE_EXECUTE_READWRITE），并且将原来的保护属性保存在oldProtection中 以下仅仅支持.text节的 bool isProtected = VirtualProtect((LPVOID)((DWORD_PTR)ntdllBase + (DWORD_PTR)hookedSectionHeader->VirtualAddress), hookedSectionHeader->Misc.VirtualSize, PAGE_EXECUTE_READWRITE, &oldProtection);//两个dll由于第一个节是空的在内存中，而text节又是第二个节，因此VirtualAddress是一样的 这样就将旧ntdll中test节的内容覆盖成了新的memcpy((LPVOID)((DWORD_PTR)ntdllBase + (DWORD_PTR)hookedSectionHeader->VirtualAddress), (LPVOID)((DWORD_PTR)ntdllMappingAddress + (DWORD_PTR)hookedSectionHeader->VirtualAddress), hookedSectionHeader->Misc.VirtualSize);//还原保护属性isProtected = VirtualProtect((LPVOID)((DWORD_PTR)ntdllBase + (DWORD_PTR)hookedSectionHeader->VirtualAddress), hookedSectionHeader->Misc.VirtualSize, oldProtection, &oldProtection);}}CloseHandle(ntdllFile);CloseHandle(ntdllMapping);FreeLibrary(ntdllModule);return 0;
}

关于代码中的IMAGE_SIZEOF_SECTION_HEADER

节的头是连续的每个节的头的大小即IMAGE_SIZEOF_SECTION_HEADER都等于40