第05节 原则：Kernel32基址的获取

已于 2024-05-17 09:40:29 修改
阅读量1.1k 收藏 20
点赞数 16
分类专栏： shellcode入门与实战 文章标签： c语言 网络安全 系统安全 c++
于 2024-05-01 12:45:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Qyears/article/details/138350134
版权
本文介绍了如何在C/C++中获取Kernel32基址，通过PEB结构解析模块链表，详细讲解了__declspec(naked)的作用，以及在不同系统中获取Kernel32基址的注意事项和优化方法，为动态调用Windows API提供基础。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

我是一枚从事网络安全行业十余年的小师哥😀，做过红队技术支持，也做过技术开发leader，乐于分享技术，喜欢结交朋友。

  • 这是我做的一个关于shellcode入门和开发的专题课👩🏻‍💻，主要面向对网络安全技术感兴趣的小伙伴，属于实战、经验性内容，里面的每一个操作我都亲测过。
  • 本专栏内容也有对应的视频版课程▶️，需要看视频版的小伙伴可以私信我get折扣券（@imbyter）

一、序言

上一节我们讲了函数的动态调用，最后发现只要借助LoadLibrary和GetProcAddress这两个函数，就可以实现对任意Windows API的动态调用。但LoadLibrary和GetProcAddress这两个函数的动态调用要怎么解决？

其实换个角度来说，我们要解决的是以下两个问题：

  1. 函数LoadLibrary的地址的获取；
  2. 函数GetProcAddress的地址的获取；

我们先回顾一下GetPr

了解本专栏 订阅专栏 解锁全文 超级会员免费看
第06节 原则：函数地址的动态获取
imbyter师哥的博客
05-02 134
实现对GetProcAdress函数地址的获取后，就可以结合kernel32的基址，再次获取到LoadLibraryA（或LoadLibraryW）这个函数的地址，然后就可以LoadLibraryA+GetProcAdress实现对任意函数的动态调用。上述GetProcAddress地址的获取，是基于PE结构导出表定位函数地址的原理。上一讲我们介绍了kernel32基址的获取，这一节来介绍如何解决GetProcAddress动态调用的问题。在上述代码中，我们测试了MessageBoxA函数的动态调用。
【系统架构设计师-2020年】综合知识-答案及详解
数据知道的博客
09-02 9512
前趋图（Precedence Graph）是一个有向无环图，记为：→={(Pi，Pj)|Pi must complete before Pj may start} 。假设系统中进程P={P1，P2，P3，P4，P5，P6，P7}，且进程的前趋图如下： 那么， 该前驱图可记为 （ ）。 答案解析正确答案： B在支持多线程的操作系统中，假设进程P创建了线程T1、T2和T3，那么下列说法正确的是（ ）。 答案解析正确答案： C假设某计算机的字长为32位，该计算机文件管理系统磁盘空间管理采用位示图（bitmap）
获取Kernel32基地址
最新发布
sagic的博客
03-05 727
当异常发生时，系统从fs:[0]指向的内存地址处取出ExceptionList字段，然后从ExceptionList字段指向的_EXCEPTION_REGISTRATION_RECORD结构中取出handler字段，并根据其中的地址去调用异常处理程序（回调函数）。异常处理链表是提到的由_EXCEPTION_REGISTRATION_RECORD结构构成的单链表。
kernel32.dll基址
ListenerForTom的博客
04-01 889
得到KERNEL32.DLL基址的方法assume fs:nothing ;打开FS寄存器 mov eax,fs:[30h] ;得到PEB结构地址 mov eax,[eax + 0ch] ;得到PEB_LDR_DATA结构地址 mov esi,[eax + 1ch] ;InInitializationOrderModuleList l
恶意代码行为-获取Kernel32基址-PEB搜索及利用OD分析
zzzfff__的博客
05-17 661
使用windbg、ollydbg来调试分析恶意代码，找到kernel32.dll的基址，
WIN下获取kernel基址的shellcode探讨(ZZ)
weixin_34292402的博客
06-29 480
转自：http://hi.baidu.com/gz1x/blog/item/c3c8f8f8b028040cd9f9fd90.html2007-10-10 15:21 <pre><font size="2">gz1X [gz1x(at)tom(dot)com]<br /><br />2005.6.30</font><font si...
Delphi下构建无导入表程序-使用:hash获取API,k32Base等
05-11 1642
//Start~~~《Delphi实现无导入表程序》初学编程，请勿奸笑:P首先感谢,一些认识不认识的前辈高人的资料.谢谢～前提假设您已经有了一定的PE Virus的知识.好了～先简单的说说无导入表程序的几点基本的构成1.GetkernelBase(获取kernel32.dll的基址)由于我们是无导入表的程序所以，所有API函数都是依靠内存搜索完成的,想必大家已经知道EXE载入到内存中ESP保存Ex
深入Linux（二）： Linux内存管理、文件系统、锁、进程调度概述
技术容我懒
03-15 902
Linux内存管理、文件系统、锁、进程调度概述
windows下32位汇编语言学习笔记
个人博客
11-10 5087
windows下32位汇编语言学习笔记 第一章  第一章 背景知识 80x86处理器的存储器 4个数据寄存器 EAX,EBX,ECX,EDX  EAX寄存器 所有API函数的返回值都保存在EAX里,注意是返回值，不是返回参数，本书3.2.2 节，说是winapi的返回值， 而经过我测试，自定义函数的返回值也一样保存在eax里。  EBX寄存器
获取Kernel32基地址的几种方法
liwei8703的专栏
12-15 1424
1、CreateProcess函数在完成装载应用程序后，会先将一个返回地址压入到堆栈顶端，而这个返回地址恰好在Kernel32.dll中，利用这个原理我们可以顺着这个返回地址按64KB大小往地址搜索，那么我们一定可以找到Kernel32模块的基地址，废话少说，代码如下：GetK32Base:    mov eax, [esp+04h]     ;得到kernel32的返回地址    and
关于kernel32基地址获取
xrain_zh的专栏
03-27 5133
[-] 关于kernel32基地址获取 一shellcode获取kernel32dll基地址二获取当前进程的PID 文件名 以及完整路径 关于kernel32基地址获取 http://joychou.sinaapp.com/index.php/Reverse/teb.html 一、shellcode（获取kernel32.dll基地址） 首先了解TEB，
《Windows PE》9.2 动态加载技术-获取kernel32.dll基址
bcdaren的博客
10-23 1361
上一节中我们介绍了如何动态调用DLL的方法。首先调用LoadLibrary函数动态加载DLL，然后调用GetProcAddress通过函数名获取DLL内的函数地址。但是LoadLibrary和GetProcAddress函数的调用仍然依赖于PE文件内的导入表和函数地址表的存在。在操作系统加载PE文件到内存时获取这两个函数的地址。本节我们将介绍一种完全不依赖于导入表和函数地址表的方法，实现对DLL动态链接库中函数的调用。简单来说，需要经过以下三步：步骤1获取kernel32.dll的基地址。
获取kernel32.dll基址
bcbobo21cn的专栏
01-03 5829
获取kernel32.dll基址 一 原理和概述 找kernel32基地址的方法一般有三种：暴力搜索法、异常处理链表搜索法、PEB法。 暴力搜索法是最早的动态查找kernel32基地址的方法。它的原理是: 几乎所有的win32可执行文件（pe格 式文件）运行的时候都加载kernel32.dll，可执行文件进入入口点执行后esp中存放的一般是 Ker
PE文件格式分析
dengdouweng1282的博客
07-01 2236
第一阶段：PE文件格式分析 使用UltraEdit观察PE文件例子程序hello-2.5.exe的16进制数据，在打印稿中画出该PE文件基本结构。 使用Ollydbg对该程序进行初步调试，了解该程序功能结构，在内存中观察该程序的完整结构。 熟悉各类PE文件格式查看和编辑工具（PEView、Stud_PE等）。 使用UltraEdit修改该程序，使得该程序仅弹出第二个对话框。 第二...
利用FS寄存器获取KERNEL32.DLL基址算法的证明
sea
01-09 5111
FS寄存器指向当前活动线程的TEB结构（线程结构）偏移  说明000  指向SEH链指针004  线程堆栈顶部008  线程堆栈底部00C  SubSystemTib010  FiberData014  ArbitraryUserPointer018  FS段寄存器在内存中的镜像地址020  进程PID024  线程ID02C  指向线程局部存储指针
获取kernel32基址的另两种方法
08-14 2032
病毒运行时可能会用到某些API，但如果导入表中没有的话，病毒的可移植性就不能保证。已经知道ntdll.dll和kernel32.dll是每个进程都需要加载的，如果知道了kernel32在进程中的地址，就能找到LoadLibrary和GetProcAddress从而加载其他dll文件并调用里面的API。以前学到过利用PEB结构来获得kernel32在进程中的基址其实还有两种常用的方法
kernel32基地址获得学习笔记
ProgrammingRing的专栏
09-08 7187
原文链接:点击打开链接 第一种方法 通过线程初始化时, 获得esp堆栈指针中的ExitThread函数的地址，然后通过搜索获得kernel32.dll的基地址。 线程在被初始化的时，其堆栈指针指向ExitThread函数的地址，windows这样做是为了通过ret返回时来调用ExitThread地址。所以一般我们可以在我们主线程的起始位置(也就是 程序入口点处)通过获得堆栈指针中E
动态获取Kernel32的函数地址
做一个快乐学习者
05-04 1168
VOID ShowDll() { //Kernel32.dll基址 DWORD dwBase; //Dos指针 PIMAGE_DOS_HEADER pDos = NULL; //Nt指针 PIMAGE_NT_HEADERS pNt = NULL; //导出表指针 PIMAGE_EXPORT_DIRECTORY pExport = NULL; //EAT PDWORD ...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值