停止编译器为导入的函数生成包装器

Question

我正在尝试获取 KeGetProcessorNumberFromIndex 的地址，但编译器不断生成调用 KeGetProcessorNumberFromIndex 的函数，我得到了这个生成函数的地址。我可以解析 PE 导出，但我想知道是否有办法阻止我正在使用 Visual Studio 的这种行为。我试图禁用所有优化，但这并没有改变任何东西。

uintptr_t addr = (uintptr_t)KeGetProcessorNumberFromIndex; // gets address of KeGetProcessorNumberFromIndex_0 

KeGetProcessorNumberFromIndex_0 proc near
jmp     cs:__imp_KeGetProcessorNumberFromIndex
KeGetProcessorNumberFromIndex_0 endp

Answer 1

这就是导入函数在 Windows 中的工作方式。编译器不会生成您所看到的代码，它实际上是在您链接的导入库中，该库之前是由创建导入库的链接器生成的。 （实际上，使用现代导入库和链接器，导入记录以紧凑的形式存储，链接器在链接时生成代码。无论哪种方式，它都不是由编译器本身生成的。）

如果addr 是一个局部变量或者您使用的是C++，那么uintptr_t addr =(uintptr_t)KeGetProcessorNumberFromIndex; 可以在初始化期间在运行时解析，并且它将包含函数的实际地址。要使其工作，尽管 KeGetProcessorNumberFromIndex 必须事先声明为 __declspec(dllimport) 否则编译器不会知道它是一个导入函数，其真实地址不在同一个图像中。显然 DDK 标头缺少这个，所以这就是为什么你没有在 addr 中获得函数的实际地址。

如果 addr 不是局部变量并且您使用的是 C，或者没有使用 __declspec(dllimport)，就像这里的情况一样，定义在链接时解析，而链接器不会不知道也无法知道函数在运行时的地址。相反，它使用存根函数的地址，即导入库隐式或显式定义的地址，因为它确实知道存根相对于它创建的图像的开始位置。

简单的解决方案是在你自己的代码中在运行时获取函数的真实地址。由于这是内核代码，您需要使用 MmGetSystemRoutineAddress，正如 Maxim Sagaydachny 所说：

uintptr_t addr = MMGetSystemRoutineAddress("KeGetProcessorNumberFromIndex");

如果你想走硬路线，这样你就可以避免打电话给MMGetSystemRoutineAddress，你可以这样做：

#ifdef _M_IX86

extern "C" NTSTATUS  (__stdcall *_imp__KeGetProcessorNumberFromIndexw)(ULONG, PROCESSOR_NUMBER);
#pragma comment(linker, "/alternatename:__imp__KeGetProcessorNumberFromIndex=__imp__KeGetProcessorNumberFromIndex@8")
uintptr_t addr = (uintptr_t)_imp__KeGetProcessorNumberFromIndex;

#elif defined(_M_X64) 

extern "C" NTSTATUS (__stdcall *__imp_KeGetProcessorNumberFromIndex)(ULONG, PROCESSOR_NUMBER);
uintptr_t addr = (uintptr_t)__imp_KeGetProcessorNumberFromIndex;

#endif

但我不确定是否值得所有这些代码复杂性，并且在 32 位 x86 案例中依赖未记录的链接器开关，只是为了保存函数调用。该代码也特定于 Visual C++，尽管它可以适用于 Clang 或 GCC。

您可以在 this answer by Matteo Italia 中找到有关 __declspec(dllimport) 工作原理的更多详细信息，并在该答案中链接的 Raymond Chen 的博客中找到更多详细信息。

Answer 2

使用 MmGetSystemRoutineAddress 获取所需函数的地址。 它是用户空间 LoadLibrary/GetProcAddress 的内核等价物