Python灰帽子学习笔记（二）——Immunity Debugger部署硬钩子

最新推荐文章于 2023-05-03 17:41:20 发布

破晓风

最新推荐文章于 2023-05-03 17:41:20 发布

阅读量2.4k

点赞数

分类专栏： Python学习笔记文章标签： python 逆向工程 python-黑客 Immunity

本文链接：https://blog.csdn.net/PoXiaoFeng/article/details/72765482

版权

本文是Python灰帽子学习笔记的第二部分，详细介绍了如何使用Immunity Debugger在win10环境下对printf_loop.exe部署硬钩子。在过程中遇到了模块名不匹配、函数出口地址查找错误等问题，并通过逐步调试和修改代码成功解决，实现了printf函数的入口和出口钩子部署。

摘要由CSDN通过智能技术生成

一、引言

下面是学习python灰帽子第六章Immunity Debugger部署硬钩子部分的学习笔记。

目前对Immunity Debugger软件使用不熟悉，为了深入探索软件的功能，所以下面的部分并没有严格按照书本的套路走，而是利用书本上代码的框架，完成对另一软件（realese后的printf_loop.exe）的硬钩子部署工作。

首先有必要说明一下系统环境和工具版本：
- win10教育版
- VS2012
- python v2.7.9
- Immunity Debugger v1.85

二、实现及过程

首先在VS2012上编译如下C++代码，生成printf_loop.exe。

# printf_loop.cpp

#include <iostream> 
using   namespace   std;

int main()
{
    int counter = 0;
    while(1)
    {
        printf("Loop iteration %d:\n", counter);
        _sleep(2*1000);//延时2秒 
        counter += 1;
    }
    return 0;
}

接下来对python灰帽子书上源代码进行修改，获取printf函数的入口和出口钩子。因为Immunity Debugger版本的不同，笔者发现书本上代码的一些方法名和实际Immunity Debugger库并不一致，存在一些方法名大小写不一致的问题。经过繁琐的查找和修改过程，初版的Pycommand代码如下（当然问题比较多，后面一步一步调试修改）。

# hippie_easy.py

# -*- coding: utf-8 -*-  

import immlib
import immutils

# 搜索包含特定ret指令的基本块，
# 寻找函数中合适的挂钩点
def getRet(imm, printf_addr, max_opcodes = 300):
    addr = printf_addr
    for a