TLS回调函数

练习：HelloTls.exe

1. 运行练习程序，弹出一个消息框，单击确定按钮后，程序终止运行。
   
2. 在OllyDbg调试器中打开并运行HelloTls.exe文件。
   
3. 消息对话框中显示的内容于程序运行时显示的内容不同，单击确定按钮，HelloTls.exe进程随机终止。
   
4. 原因在于，程序运行EP代码前先调用了TLS回调函数，而该回调函数中含有反调试代码，使程序在被调试时弹出“Debugger Detected!“消息对话框。

TLS

1. TLS是各线程的独立的数据存储空间，使用TLS技术可在线程内部独立使用或修改进程的全局数据或静态数据，就像对待自身的局部变量一样。
2. IMAGE_DATA_DIRECTORY[9]

• 若在编程中启用了TLS功能，PE头文件中就会设置TLS表项目。
  
• IMAGE_TLS_DIRECTORY结构体位于RVA 1A0.
  
• IMAGE_TLS_DIRECTORY结构体有2种版本，分别为32位版本与64位版本，使用PEView工具查看IMAGE_TLS_DIRECTORY结构体。
  
• 比较重要的成员为AddressOfCallbacks，该值指向含有TLS回调函数地址数组，这意味着可用向同一程序注册多个TLS回调函数。（数组以NULL值结束。）
  
• 该数组实际存储的就是TLS回调函数的地址，进程启动运行时，（执行EP代码前）系统会逐一调用存储在该数组该数组种的函数。

TLS回调函数

1. TLS回调函数是指，没当创建/终止进程的线程时会自动调用执行的函数，创建进程的主线程时也会自动调用回调函数，且其调用执行先于EP代码，反调试技术利用的就是TLS回调函数的这一特征。
2. IMAGE_TLS_CALLBACK

• TLS回调函数的定义如下：

(NTAPI *PIMAGE_TLS_CALLBACK)(
	PVOID DllHandle,
	DWORD Reason,
	PVOID Reserved
);

• 仔细观察TLS回调函数的定义可用发现，它于DllMain()函数的定义类似：

BOOL WINAPI DllMain(
	__in HINSTANCE hinstDLL,
	__in DWORD fdwReason,
	__in LPVOID lpReserved
);

• 它们的参数顺序与含义都是一样的，其中，参数DllHandle为模块句柄（即加载地址），参数Reason表示调用TLS回调函数的原因，具体原因有4种。

#define DLL_PROCESS_ATTACH 1
#define DLL_THREAD_ATTACH 2
#define DLL_THREAD_DETACH 3
#define DLL_PROCESS_DETACH 0

TlsTest.exe

1. TlsTest.exe程序的源代码。

#include <windows.h>

#pragma comment(linker, "/INCLUDE:__tls_used")

void print_console(char* szMsg)
{
    HANDLE hStdout = GetStdHandle(STD_OUTPUT_HANDLE);

    WriteConsoleA(hStdout, szMsg, strlen(szMsg), NULL, NULL);
}

void NTAPI TLS_CALLBACK1(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
    char szMsg[80] = {0,};
    wsprintfA(szMsg, "TLS_CALLBACK1() : DllHandle = %X, Reason = %d\n", DllHandle, Reason);
    print_console(szMsg);
}

void NTAPI TLS_CALLBACK2(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
    char szMsg[80] = {0,};
    wsprintfA(szMsg, "TLS_CALLBACK2() : DllHandle = %X, Reason = %d\n", DllHandle, Reason);
    print_console(szMsg);
}

#pragma data_seg(".CRT$XLX")
    PIMAGE_TLS_CALLBACK pTLS_CALLBACKs[] = { TLS_CALLBACK1, TLS_CALLBACK2, 0 };
#pragma data_seg()

DWORD WINAPI ThreadProc(LPVOID lParam)
{
    print_console("ThreadProc() start\n");

    print_console("ThreadProc() end\n");

    return 0;
}

int main(void)
{
    HANDLE hThread = NULL;

    print_console("main() start\n");

    hThread = CreateThread(NULL, 0, ThreadProc, NULL, 0, NULL);
    WaitForSingleObject(hThread, 60*1000);
    CloseHandle(hThread);

    print_console("main() end\n");

    return 0;
}

• TlsTest.cpp源代码注册了2个TLS回调函数（TLS_CALLBACK1、TLS_CALLBACK2），它们也非常简单，只是将DllHandle与Reason这2个参数的值输出到控制台，然后终止退出。
• main()函数也非常，创建用户线程（ThreadProc）后终止，main()与ThreadProc()内部分别将函数开始/终止日志输出到控制台。
  

2. DLL_PROCESS_ATTACH

• 进程的主线程调用main()函数前，已经注册了TLS回调函数（TLS_CALLBACK1、TLS_CALLBACK2）会先被调用执行，此时Reason的值为1（DLL_PROCESS_ATTACH）。

3. DLL_THREAD_ATTACH

• 所有TLS回调函数完成调用后，main()函数开始调用执行，创建用户线程（ThreadProc）前，TLS回调函数会被再次调用执行，此时Reason=2（DLL_THREAD_ATTACH)。

4. DLL_THREAD_DETACH

• TLS回调函数全部执行完毕后，ThreadProc()线程函数开始调用执行，其执行完毕后Reason=3（DLL_THREAD_DETACH），TLS回调函数被调用执行。

5. DLL_PROCESS_DETACH

• ThreadProc()线程函数执行完毕后，一直等待线程终止的main()函数（主线程）也会终止，此时Reason=0(DLL_PROCESS_DETACH)，TLS回调函数最后依次被调用执行。

调试TLS回调函数

1. 修改OllyDbg（2.0）选项就可以调试TLS回调函数。
   
2. 重启应用程序，程序会暂停在TLS回调函数，
   

手工添加TLS回调函数

1. 本节的目标是直接修改Hello.exe文件（PE文件），为其添加TLS回调函数。
2. 修改前的原程序。

• 修改前的原程序为Hello.exe，它非常简单，运行时弹出一个消息框，然后终止退出。
  

3. 首先要确定IMAGE_TLS_DIRECTORY结构体与TLS回调函数放到文件的哪个位置。

• 添加到节区末尾的空白区域。
• 增加最后一个节区的大小。
• 在最后添加新节区。

4. 这里采用第二个方法，即增加最后一个节区的大小。
   

• 最后一个节区（.rsrc)的Pointer to Raw Data = 9000，Size of Raw Data = 200，所以PE头中的定义的文件整体大小为9200，考虑到要添加的代码与数据的大小，我们将最后一个节区大小增加到200（文件的大小增加到9400）。
  

5. 编辑PE文件头

• 分别修改.rcrs节区头中Size of Raw Data与Characteristics的值，即Size of Raw Data = 400、Characteristics = E0000060.
  
• Characteristics=E0000060.
  
• 在原有属性的基础上新增了IMAGE_SCN_CNT_CODE|IMAGE_SCN_MEM_EXECUTE|IMAGE_SCN_MEM_WRITE属性。

6. IMAGE_DATA_DIRECTORY[9]

• 接下来要设置TLS表（IMAGE_NT_HEADERS-IMAGE_OPTIONAL_HEADER-IMAGE_DATA_DIRECTORY[9]）的值，拓展区域的起始地址为9200（文件偏移），在PEView中查看该地址为C200（RVA地址），我们将从该地址处创建IMAGE_TLS_DIRECTORY结构体，因此修改PE文件头的IMAGE_DATA_DIRECTORY[9]。
  
• 修改后用PEView工具查看。
  

7. 设置IMAGE_TLS_DIRECTORY结构体

• 只要把TLS回调函数注册到其中即可，编辑设置IMAGE_TLS_DIRECTORY结构体。
  
• 在文件偏移9200（RVA C200）地址处创建了IMAGE_TLS_DIRECTORY结构体，AddressOfCallbacks成员的值为VA 40C224（文件偏移9224），它是Array of TLS Callback Function的起始地址。只要把TLS回调函数的地址（40C230）放入该数组，即可成功注册TLS回调函数。
• 先向TLS回调函数写入C2 0C00 - RETN 0C命令，即在TLS回调函数中不执行任何操作。

8. 编写TLS回调函数

• 利用OllyDbg的汇编功能，从40C230地址处开始编写反调试代码。
  
• 编写好TLS回调函数后，将修改的代码全部选中，鼠标右键Edit->Copy to executable->右键->save file.
• ESP + 8 存储的是Reason参数的值，若值为1（DLL_PROCESS_ATTACH)时，检查PEB.BeingDebugged成员，若处于调试状态，则弹出消息框（MessageBoxA）后终止并退出进程。

9. 使用OllyDbg打开我们添加了回调函数的程序，下图表明手工添加TLS回调函数成功。