可以按序号挂钩IAT功能吗？

Question

我在搞乱一些 dll 注入/函数挂钩。通过比较 IAT 中函数的名称，我可以按名称挂钩导入地址表的函数。 （获取IMAGE_THUNK_DATA并读取值）

但是当我注入的应用程序按序号导入函数时，我不会用这种方法成功。例如，有时当我检查 IMAGE_THUNK_DATA* thunkData->u1.Function 时，它似乎是一些序数。

现在我的问题是：有没有办法获取例如 Sleep 函数 (https://msdn.microsoft.com/de-de/library/windows/desktop/ms686298(v=vs.85).aspx) 的序数并检查 IAT 中的值是否等于该序数？ 例如这样的：

if (IMAGE_SNAP_BY_ORDINAL(thunkData->u1.Function)) {
    //check if u1.Function is my desired ordinal number of sleep
}

或者我注入的应用程序的 IAT 中的序号与原始 dll 中 Sleep 函数的序号不同？

希望你明白我的意思。

Answer 1

当然可以通过序数实现钩子函数，但是如果我们知道这个序数。

一般来说序数是不稳定的。例如Sleep 在每个 Windows 版本中都有不同的序数。甚至更多 - 在相同的寡妇版本中，它在 x86 和 x64 版本的 kernel32.dll 中具有不同的序数 - 但是 Sleep 在您的应用程序中按序数导入？我 100% 确定不是。

但是，在某些 dll 中，某些序数是稳定的（例如 ws2_32.dll 或 oleaut32.dll ）。我们如何知道哪些序数是稳定的（可以使用）？让我们想一想 - 我们使用链接 someimport.lib 从 some.dll 导入函数 - 并在此导入 LIB 并包含如何导入函数的信息 - 按名称或按序号。所以你需要从LIB 文件中获取信息。这可以通过命令来完成：

link.exe -dump /EXPORTS "somepath\somelib.lib" > somelib.log

例如以ws2_32.lib - 我运行

link.exe -dump /EXPORTS "my path\x64\ws2_32.lib" > ws2_32.log

   ordinal    name
          ?WSApSetPostRoutine@@YAHPEAX@Z (int __cdecl WSApSetPostRoutine(void *))
          FreeAddrInfoEx
          FreeAddrInfoExW
          FreeAddrInfoW
          GetAddrInfoExA
          GetAddrInfoExCancel
          GetAddrInfoExOverlappedResult
          GetAddrInfoExW
          GetAddrInfoW
          GetHostNameW
          GetNameInfoW
          InetNtopW
          InetPtonW
          SetAddrInfoExA
          SetAddrInfoExW
   500    WEP
          WPUCompleteOverlappedRequest
          WPUGetProviderPathEx
          WSAAccept
          WSAAddressToStringA
          WSAAddressToStringW
          WSAAdvertiseProvider
   102    WSAAsyncGetHostByAddr
   103    WSAAsyncGetHostByName
   105    WSAAsyncGetProtoByName
   104    WSAAsyncGetProtoByNumber
   107    WSAAsyncGetServByName
   106    WSAAsyncGetServByPort
   101    WSAAsyncSelect
   108    WSACancelAsyncRequest
   113    WSACancelBlockingCall
   116    WSACleanup
          WSACloseEvent
          WSAConnect
          WSAConnectByList
          WSAConnectByNameA
          WSAConnectByNameW
          WSACreateEvent
          WSADuplicateSocketA
          WSADuplicateSocketW
          WSAEnumNameSpaceProvidersA
          WSAEnumNameSpaceProvidersExA
          WSAEnumNameSpaceProvidersExW
          WSAEnumNameSpaceProvidersW
          WSAEnumNetworkEvents
          WSAEnumProtocolsA
          WSAEnumProtocolsW
          WSAEventSelect
   111    WSAGetLastError
          WSAGetOverlappedResult
          WSAGetQOSByName
          WSAGetServiceClassInfoA
          WSAGetServiceClassInfoW
          WSAGetServiceClassNameByClassIdA
          WSAGetServiceClassNameByClassIdW
          WSAHtonl
          WSAHtons
          WSAInstallServiceClassA
          WSAInstallServiceClassW
          WSAIoctl
   114    WSAIsBlocking
          WSAJoinLeaf
          WSALookupServiceBeginA
          WSALookupServiceBeginW
          WSALookupServiceEnd
          WSALookupServiceNextA
          WSALookupServiceNextW
          WSANSPIoctl
          WSANtohl
          WSANtohs
          WSAPoll
          WSAProviderCompleteAsyncCall
          WSAProviderConfigChange
          WSARecv
          WSARecvDisconnect
          WSARecvFrom
          WSARemoveServiceClass
          WSAResetEvent
          WSASend
          WSASendDisconnect
          WSASendMsg
          WSASendTo
   109    WSASetBlockingHook
          WSASetEvent
   112    WSASetLastError
          WSASetServiceA
          WSASetServiceW
          WSASocketA
          WSASocketW
   115    WSAStartup
          WSAStringToAddressA
          WSAStringToAddressW
          WSAUnadvertiseProvider
   110    WSAUnhookBlockingHook
          WSAWaitForMultipleEvents
          WSCDeinstallProvider
          WSCDeinstallProvider32
          WSCDeinstallProviderEx
          WSCEnableNSProvider
          WSCEnableNSProvider32
          WSCEnumNameSpaceProviders32
          WSCEnumNameSpaceProvidersEx32
          WSCEnumProtocols
          WSCEnumProtocols32
          WSCEnumProtocolsEx
          WSCGetApplicationCategory
          WSCGetApplicationCategoryEx
          WSCGetProviderInfo
          WSCGetProviderInfo32
          WSCGetProviderPath
          WSCGetProviderPath32
          WSCInstallNameSpace
          WSCInstallNameSpace32
          WSCInstallNameSpaceEx
          WSCInstallNameSpaceEx2
          WSCInstallNameSpaceEx32
          WSCInstallProvider
          WSCInstallProvider64_32
          WSCInstallProviderAndChains64_32
          WSCInstallProviderEx
          WSCSetApplicationCategory
          WSCSetApplicationCategoryEx
          WSCSetProviderInfo
          WSCSetProviderInfo32
          WSCUnInstallNameSpace
          WSCUnInstallNameSpace32
          WSCUnInstallNameSpaceEx2
          WSCUpdateProvider
          WSCUpdateProvider32
          WSCUpdateProviderEx
          WSCWriteNameSpaceOrder
          WSCWriteNameSpaceOrder32
          WSCWriteProviderOrder
          WSCWriteProviderOrder32
          WSCWriteProviderOrderEx
          WahCloseApcHelper
          WahCloseHandleHelper
          WahCloseNotificationHandleHelper
          WahCloseSocketHandle
          WahCloseThread
          WahCompleteRequest
          WahCreateHandleContextTable
          WahCreateNotificationHandle
          WahCreateSocketHandle
          WahDestroyHandleContextTable
          WahDisableNonIFSHandleSupport
          WahEnableNonIFSHandleSupport
          WahEnumerateHandleContexts
          WahInsertHandleContext
          WahNotifyAllProcesses
          WahOpenApcHelper
          WahOpenCurrentThread
          WahOpenHandleHelper
          WahOpenNotificationHandleHelper
          WahQueueUserApc
          WahReferenceContextByHandle
          WahRemoveHandleContext
          WahWaitForNotification
          WahWriteLSPEvent
   151    __WSAFDIsSet
     1    accept
     2    bind
     3    closesocket
     4    connect
          freeaddrinfo
          getaddrinfo
    51    gethostbyaddr
    52    gethostbyname
    57    gethostname
          getnameinfo
     5    getpeername
    53    getprotobyname
    54    getprotobynumber
    55    getservbyname
    56    getservbyport
     6    getsockname
     7    getsockopt
     8    htonl
     9    htons
    11    inet_addr
    12    inet_ntoa
          inet_ntop
          inet_pton
    10    ioctlsocket
    13    listen
    14    ntohl
    15    ntohs
    16    recv
    17    recvfrom
    18    select
    19    send
    20    sendto
    21    setsockopt
    22    shutdown
    23    socket

如果我们查看 ordinal 不为空 - API 将按序号导入（如果 PE 通过与此 lib 链接构建）如果为空 - 将按名称导入。例如，WSAStartup 将按序号 115 (0x73) 导入，而 WSASocketW 将按名称导入。如果 Microsoft 库 (ws2_32.lib) 按序号 115 导出 WSAStartup - 这意味着在所有 Windows (x64) 版本中 WSAStartup 必须 使用相同的序号 115 导出 - 否则将有大量应用程序与这个官方库 - 未在运行时启动或崩溃。所以将来，ws2_32.lib 的其他版本可以开始按名称导入 WSAStartup，但所有窗口 ws2_32.dll 已经必须始终以 115 序号导出 WSAStartup。

如果您检查 kernel32.lib，您可以查看该序数列全为空 - 所以没有任何受赠者说 Sleep ordinal - 它真的非常不稳定。

那么需要怎么写代码，比如检测WSAStartupimport entry？

#define WSAStartup_Ordinal 115

PVOID hmod;
PIMAGE_IMPORT_DESCRIPTOR piid;
ULONG size/* size of IMPORT directory*/, d;
// assume hmod, piid, size already initialized

while ((INT)size >= sizeof(IMAGE_IMPORT_DESCRIPTOR) && (d = piid->Name))
{
    PCSTR name = RtlOffsetToPointer(hmod, d);

    if (!_stricmp(name, "ws2_32.dll"))
    {
        if (d = piid->FirstThunk)
        {
            PIMAGE_THUNK_DATA FirstThunk = (PIMAGE_THUNK_DATA)RtlOffsetToPointer(hmod, d);

            if (d = piid->OriginalFirstThunk)
            {
                PIMAGE_THUNK_DATA OriginalFirstThunk = (PIMAGE_THUNK_DATA)RtlOffsetToPointer(hmod, d);

                while (ULONG_PTR Ordinal = OriginalFirstThunk->u1.Ordinal)
                {
                    ULONG_PTR Function = 0;

                    if (IMAGE_SNAP_BY_ORDINAL(Ordinal))
                    {
                        if (IMAGE_ORDINAL(Ordinal) == WSAStartup_Ordinal) // 115
                        {
                            Function = FirstThunk->u1.Function;
                        }
                    }
                    else
                    {
                        if (!strcmp((PCSTR)((PIMAGE_IMPORT_BY_NAME)RtlOffsetToPointer(hmod, Ordinal))->Name, "WSAStartup"))
                        {
                            Function = FirstThunk->u1.Function;
                        }
                    }

                    if (Function)
                    {
                        __nop();
                    }
                }
            }
        }
    }

    size -= sizeof(IMAGE_IMPORT_DESCRIPTOR), piid++;
}