《Undocumented Windows 2000 Secrets》翻译 --- 第六章(7)

翻译 2005年05月15日 02:29:00

第六章  在用户模式下调用内核API函数

翻译:Kendiv( fcczj@263.net )

更新:Sunday, May 15, 2005

 

声明:转载请注明出处,并保证文章的完整性,本人保留译文的所有权利。

 

访问未导出的符号

为什么我们要允许应用程序执行本该内核驱动程序完成的操作?我们能将应用程序的能力增强到内核驱动程序也无法达到的程度吗?我们可以调用既没有文档化也没有导出的内部函数吗?这听起来有些危险,不过,就像我接下来要展示的那样,如果小心的进行控制,它将不会像看起来那样“可怕”。

 

查找内部符号

前面所讲的内核调用接口将查找导出符号的地址的工作委托给了Spy device,该Spy device可全面访问位于高一半的线形地址空间(upper half of the linear address space)中的内核模块的PE映像。不过,如果要调用的函数或者要访问的全局变量并没有导出,那么Spy device将没有机会找到它们的地址。在编写本章以及检查内核调试器输出的某些反汇编代码时,我总是想:“他们不导出这个漂亮的函数真是可惜!”这是因为内核调试器向我展示了确切的函数名,这让我非常恼火,但我的应用程序将完全忽略它们。当然,我可以使用我的内核调用接口跳到这些函数的无格式二进制入口点(the plain binary entry point of the function),但这不是一种很好的编程风格。以后发布的Service Pack很可能将这些入口点移动到其他位置。

 

我相信如果调试器可以做到这一点,我的程序也应该可以做到。在第一章中给出的一个示例DLL将我引上了正确的道路。只要操作系统的的符号文件正确安装了,w2k_img.dll就可以查找由Windows 2000内核模块定义的任意符号的地址。因此,我进一步扩展了w2k_call.dll,增加了一个新的API函数,该函数可先查找一个内部符号对应的线性地址,然后调用w2kCall()执行它。当然,针对全局变量也提供了类似的函数。

 

列表6-32给出了所有扩展后的调用接口函数。并且,为了方便,还为每种主要函数类型提供了单独的函数,这些单独的函数对应列表6-206-22中的函数。w2kXCall()将完成主要的工作,它调用w2k_img.dll中的API函数imgTableResolve()以获取指定符号的线性地址,如果成功,该地址将被列入随后的w2kCall()调用列表中。因为w2kCall()被设计为调用一个地址而不是一个符号,NULL指针将作为w2kCall()pbSymbol参数传入。pEntryPoint参数将被设置为符号的地址pie->pAddress,该地址从对应的符号文件中获取。就像在第一章解释的那样,w2k_img.dll可以确定大多数内部函数所需的调用约定,因此,通过测试IMG_CONVENTION_FASTCALL结构中pie->dconvention的值可自动设置fFastcall参数。参数的字节数和指向参数的指针将向前传递,就像接收自调用者一样。可以从符号信息中获取参数的个数,不过这仅对__stdcall__fastcall函数有效。__cdecl symbols don’t encode the argument stack size in their decoration.

 

BOOL WINAPI w2kXCall (PULARGE_INTEGER puliResult,

                      PBYTE           pbSymbol,

                      DWORD           dArgumentBytes,

                      PVOID           pArguments)

    {

    PIMG_TABLE pit;

    PIMG_ENTRY pie;

    BOOL       fOk = FALSE;

 

    if (((pit = w2kSymbolsGlobal (NULL))         != NULL) &&

        ((pie = imgTableResolve (pit, pbSymbol)) != NULL) &&

        (pie->pAddress != NULL))

        {

        fOk = w2kCall (puliResult, NULL, pie->pAddress,

                       pie->dConvention == IMG_CONVENTION_FASTCALL,

                       dArgumentBytes, pArguments);

        }

    else

        {

        if (puliResult != NULL) puliResult->QuadPart = 0;

        }

    return fOk;

    }

 

// -----------------------------------------------------------------

 

BOOL WINAPI w2kXCallV (PULARGE_INTEGER puliResult,

                       PBYTE           pbSymbol,

                       DWORD           dArgumentBytes,

                       ...)

    {

    return w2kXCall (puliResult, pbSymbol,

                     dArgumentBytes, &dArgumentBytes + 1);

    }

 

// -----------------------------------------------------------------

 

NTSTATUS WINAPI w2kXCallNT (PBYTE pbSymbol,

                            DWORD dArgumentBytes,

                            ...)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCall (&uliResult, pbSymbol,

                      dArgumentBytes, &dArgumentBytes + 1)

 

            ? uliResult.LowPart

            : STATUS_IO_DEVICE_ERROR);

    }

 

// -----------------------------------------------------------------

 

BYTE WINAPI w2kXCall08 (BYTE  bDefault,

                        PBYTE pbSymbol,

                        DWORD dArgumentBytes,

                        ...)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCall (&uliResult, pbSymbol,

                      dArgumentBytes, &dArgumentBytes + 1)

 

            ? (BYTE) uliResult.LowPart

            : bDefault);

    }

 

// -----------------------------------------------------------------

 

WORD WINAPI w2kXCall16 (WORD  wDefault,

                        PBYTE pbSymbol,

                        DWORD dArgumentBytes,

                        ...)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCall (&uliResult, pbSymbol,

                      dArgumentBytes, &dArgumentBytes + 1)

 

            ? (WORD) uliResult.LowPart

            : wDefault);

    }

 

// -----------------------------------------------------------------

 

DWORD WINAPI w2kXCall32 (DWORD dDefault,

                         PBYTE pbSymbol,

                         DWORD dArgumentBytes,

                         ...)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCall (&uliResult, pbSymbol,

                      dArgumentBytes, &dArgumentBytes + 1)

 

            ? uliResult.LowPart

            : dDefault);

    }

 

// -----------------------------------------------------------------

 

QWORD WINAPI w2kXCall64 (QWORD qDefault,

                         PBYTE pbSymbol,

                         DWORD dArgumentBytes,

                         ...)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCall (&uliResult, pbSymbol,

                      dArgumentBytes, &dArgumentBytes + 1)

 

            ? uliResult.QuadPart

            : qDefault);

    }

 

// -----------------------------------------------------------------

 

PVOID WINAPI w2kXCallP (PVOID pDefault,

                        PBYTE pbSymbol,

                        DWORD dArgumentBytes,

                        ...)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCall (&uliResult, pbSymbol,

                      dArgumentBytes, &dArgumentBytes + 1)

 

            ? (PVOID) uliResult.LowPart

            : pDefault);

    }

列表6-32.   扩展的调用接口

 

注意在列表6-32中的w2kXCall()在开始工作之前会首先调用w2kSymbolsGlobal()列表6-33给出了w2kSymbolsGlobal()函数,以及其他一些帮助函数,w2kSymbolsGlobal()的目的是在第一次调用w2kXCall()之前加载ntoskrnl.exe的符号文件。符号表存储在名为gpit的全局变量中,该变量的类型为PIMG_TABLE,在随后调用的函数中可以使用该表。在辅助函数的帮助下,w2kSymbolsLoad()可通过*pdstatus参数返回列表6-2中的某一个状态代码。为了避免由于不匹配的符号信息而跳到无效的地址处,w2kSymbolsLoad()函数将使用w2kPeCheck()函数小心的将符号文件的时间戳、校验和(checksum)与目标模块的内存映像的相应域进行比较,如果它们不匹配,则丢弃相应的符号表。

 

PIMG_TABLE WINAPI w2kSymbolsLoad (PBYTE  pbModule,

                                  PDWORD pdStatus)

    {

    PVOID      pBase;

    DWORD      dStatus = W2K_SYMBOLS_UNDEFINED;

    PIMG_TABLE pit     = NULL;

 

    if ((pBase = imgModuleBaseA (pbModule)) == NULL)

        {

        dStatus = W2K_SYMBOLS_MODULE_ERROR;

        }

    else

        {

        if ((pit = imgTableLoadA (pbModule, pBase)) == NULL)

            {

            dStatus = W2K_SYMBOLS_LOAD_ERROR;

            }

        else

            {

            if (!w2kPeCheck (pbModule, pit->dTimeStamp,

                                       pit->dCheckSum))

                {

                dStatus = W2K_SYMBOLS_VERSION_ERROR;

                pit     = imgMemoryDestroy (pit);

                }

            else

                {

                dStatus = W2K_SYMBOLS_OK;

                }

            }

        }

    if (pdStatus != NULL) *pdStatus = dStatus;

    return pit;

    }

 

// -----------------------------------------------------------------

 

PIMG_TABLE WINAPI w2kSymbolsGlobal (PDWORD pdStatus)

    {

    DWORD      dStatus = W2K_SYMBOLS_UNDEFINED;

    PIMG_TABLE pit     = NULL;

 

    w2kSpyLock ();

 

    if ((gdStatus == W2K_SYMBOLS_OK) && (gpit == NULL))

        {

        gpit = w2kSymbolsLoad (NULL, &gdStatus);

        }

    dStatus = gdStatus;

    pit     = gpit;

 

    w2kSpyUnlock ();

 

    if (pdStatus != NULL) *pdStatus = dStatus;

    return pit;

    }

 

// -----------------------------------------------------------------

 

DWORD WINAPI w2kSymbolsStatus (VOID)

    {

    DWORD dStatus = W2K_SYMBOLS_UNDEFINED;

 

    w2kSymbolsGlobal (&dStatus);

    return dStatus;

    }

 

// -----------------------------------------------------------------

 

VOID WINAPI w2kSymbolsReset (VOID)

    {

    w2kSpyLock ();

 

    gpit     = imgMemoryDestroy (gpit);

    gdStatus = W2K_SYMBOLS_OK;

 

    w2kSpyUnlock ();

    return;

    }

列表6-33.  符号表管理函数

 

列表6-33底部的w2kSymbolsStatus()w2kSymbolsReset()函数可按需加载/卸载符号表。如果符号表不存在,w2kSymbolsStatus()将尝试加载它并返回其状态代码。如果w2k_call.dll已经尝试加载符号表但没有成功的话,那么w2kSymbolsStatus()将返回一个最后错误代码(见6-2),除非调用w2kSymbolsReset()重置符号表。w2kSymbolsReset()将释放符号表占用的内存块(如果有的话),并在下一次请求之前强制重新加载整个符号表,这也包括ntoskrnl.exe的符号表。

 

6-2.  w2kSymbolsLoad()状态代码

状态代码

   

W2K_SYMBOLS_OK

模块的符号表已加载

W2K_SYMBOLS_MODULE_ERROR

模块没有常住内存

W2K_SYMBOLS_LOAD_ERROR

无法加载模块的符号文件

W2K_SYMBOLS_VERSION_ERROR

符号文件与内存中的模块映像不匹配

W2K_SYMBOLS_UNDEFINED

符号表的状态未定义

 

列表6-34中的w2kXCopy*()函数集构成了扩展的复制接口,它们分别对应于列表6-23中的相应函数。w2kXCopy()简单的使用值为负数的dArgumentBytes参数调用w2kXCall(),剩余的复制函数只是一组外包函数,用于提供更简洁的参数列表。

 

BOOL WINAPI w2kXCopy (PULARGE_INTEGER puliResult,

                      PBYTE           pbSymbol,

                      DWORD           dBytes)

    {

    return w2kXCall (puliResult, pbSymbol,

                     0xFFFFFFFF - dBytes, NULL);

    }

 

// -----------------------------------------------------------------

 

BYTE WINAPI w2kXCopy08 (BYTE  bDefault,

                        PBYTE pbSymbol)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCopy (&uliResult, pbSymbol, 1)

            ? (BYTE) uliResult.LowPart

            : bDefault);

    }

 

// -----------------------------------------------------------------

 

WORD WINAPI w2kXCopy16 (WORD  wDefault,

                        PBYTE pbSymbol)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCopy (&uliResult, pbSymbol, 2)

            ? (WORD) uliResult.LowPart

            : wDefault);

    }

 

// -----------------------------------------------------------------

 

DWORD WINAPI w2kXCopy32 (DWORD dDefault,

                         PBYTE pbSymbol)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCopy (&uliResult, pbSymbol, 4)

            ? uliResult.LowPart

            : dDefault);

    }

 

// -----------------------------------------------------------------

 

QWORD WINAPI w2kXCopy64 (QWORD qDefault,

                         PBYTE pbSymbol)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCopy (&uliResult, pbSymbol, 8)

            ? uliResult.QuadPart

            : qDefault);

    }

 

// -----------------------------------------------------------------

 

PVOID WINAPI w2kXCopyP (PVOID pDefault,

                        PBYTE pbSymbol)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCopy (&uliResult, pbSymbol, 4)

            ? (PVOID) uliResult.LowPart

            : pDefault);

    }

 

// -----------------------------------------------------------------

 

PVOID WINAPI w2kXCopyEP (PVOID pDefault,

                         PBYTE pbSymbol)

    {

    ULARGE_INTEGER uliResult;

 

    return (w2kXCopy (&uliResult, pbSymbol, 0)

            ? (PVOID) uliResult.LowPart

            : pDefault);

    }

列表6-34.  扩展的复制函数

 

实现内核函数的Thunk

实现内部(指未导出的)内核函数的Thunk的方式与实现已导出的API函数的Thunk的方式相同,目前只有ntoskrnl.exe中的未导出函数可以被调用。这一限制是由于当前的w2k_call.dll中的符号表管理器只加载了ntoskrnl.exe的符号表,并不是调用接口自身的限制。仅加载ntoskrnl.exe的符号表只是为了让事情更简单的些,因为该模块中包含了大多数我们感兴趣的符号(当然,你可以扩展w2k_call.dll以加载多个符号表)。列表6-35包含两个用于Windows 2000对象管理的内部函数的Thunk,这两个Thunk可返回对象类型的相关信息。(对象类型将在第七章里详细讨论)。

 

列表6-36给出了三个非常重要的内部数据结构的Thunk,第七章的示例代码需要这些Thunk。注意,我对使用扩展的内核调用接口的Thunk的名称之前增加了两个下划线作为前缀。这表示仅在提供相应的符号文件的情况下,才能使用这些Thunk。如果你安装了Service Pack而没有更新相应的符号文件,则w2kSymbolsLoad()将拒绝加载符号文件(因为时间戳、校验和均不匹配),并且对有双划线前缀的Thunk的调用也将失败,这些Thunk将返回默认值。换句话说,有一个下划线前缀的Thunk仍然可以正常的工作(即使没有匹配的符号文件),因为这些Thunk是根据新模块的内存映像的导出表来解析符号的。不过,在更新系统后,如果被更新的模块不再导出我们所引用的API函数或者某些函数的参数列表发生了变化,那么它们仍可能失败,

 

NTSTATUS WINAPI

__ObQueryTypeInfo (POBJECT_TYPE      ObjectType,

                   POBJECT_TYPE_INFO TypeInfo,

   /* bytes     */ DWORD             TypeInfoLength,

   /* init to 0 */ PDWORD            ReturnLength)

    {

    return w2kXCallNT ("ObQueryTypeInfo",

                       16, ObjectType, TypeInfo, TypeInfoLength,

                           ReturnLength);

    }

 

// -----------------------------------------------------------------

 

NTSTATUS WINAPI

__ObQueryTypeName (POBJECT                  Object,

                   POBJECT_NAME_INFORMATION NameString,

       /* bytes */ DWORD                    NameStringLength,

                   PDWORD                   ReturnLength)

    {

    return w2kXCallNT ("ObQueryTypeName",

                       16, Object, NameString, NameStringLength,

                           ReturnLength);

    }

列表6-35.  ObQueryTypeInfo()ObQueryTypeName()Thunk示列

 

 

PERESOURCE WINAPI

__ObpRootDirectoryMutex (VOID)

    {

    return w2kXCopyP (NULL, "ObpRootDirectoryMutex");

    }

 

// -----------------------------------------------------------------

 

POBJECT_DIRECTORY WINAPI

__ObpRootDirectoryObject (VOID)

    {

    return w2kXCopyP (NULL, "ObpRootDirectoryObject");

    }

 

// -----------------------------------------------------------------

 

POBJECT_DIRECTORY WINAPI

__ObpTypeDirectoryObject (VOID)

    {

    return w2kXCopyP (NULL, "ObpTypeDirectoryObject");

    }

列表6-36.  一些内部变量的Thunk示列

 

现在,已经足够了。不过你或许有一点失望,因为我没有给出使用w2k_call.dll的示例代码。不要担心,你会在下一章中得到这些示例代码

 

………………本章完……………

Undocumented Windows 2000 Secrets

  • 2007年05月15日 11:00
  • 2.63MB
  • 下载

Undocumented Windows 2000 Secrets 源码

  • 2010年04月14日 18:28
  • 1.02MB
  • 下载

Windows 2000/XP/2003 下 IIS/Apache+PHP+MySQL+Zend Optimizer+phpMyAdmin安装配置

Windows 2000/XP/2003 下 IIS/Apache+PHP+MySQL+Zend Optimizer+phpMyAdmin安装配置 一、软件准备: Apache(2.0.5...
  • shenx99
  • shenx99
  • 2011年11月23日 16:48
  • 592

在Windows 2000或XP中用控制台解决PC故障

在Windows 2000或者XP中,如果某些系统文件发生意外故障,那即便是安全模式也无法进入。出现这样的问题需要重新安装系统,非常麻烦。这时,使用Windows 2000或XP中的系统控制台命令也许...
  • Galdys
  • Galdys
  • 2011年08月12日 16:54
  • 518

Undocumented Windows 2000 Secrets

  • 2008年03月28日 17:28
  • 6.44MB
  • 下载

windows 2000XP API 中C++线程池编程实现异步数据插库

大家都知道使用线程实现异步函数操作,尤其是顺序执行需要消耗大量时间的时候;而线程池是为了解决频繁启动和撤销线程所带来的系统开销以及引发的一系列内存出错的问题(当时频繁启用程经常遇到的问题);然后就有了...

Undocumented Windows 2000 Secrets.pdf

  • 2008年11月10日 11:41
  • 365KB
  • 下载
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:《Undocumented Windows 2000 Secrets》翻译 --- 第六章(7)
举报原因:
原因补充:

(最多只允许输入30个字)