Fport是一个可以在winXP上实现查询端口信息功能的软件。
首先将文件拖入IDA分析
找到main函数,通过与OD动态分析结合,发现输出信息都在一个keyFunction里完成。
通过OD发现程序的主体逻辑大概是:Tcp和Udp操作类似,首先GetProcessHeap()获取当前堆,然后调用AllocateAndGetTcpExTableFromStack(),再将其返回信息送入workFunc()加工,最后由msgShow()输出到屏幕上。通过MSDN上查询可以知道:
GetProcessHeap 返回当前进程堆句柄。
【垃圾博客园写了一大堆没有保存按到鼠标全部没有了!!!!心态爆炸】
API的功能是获取Tcp信息,第一个参数是一个指针,存放指向返回的tcpTable的指针,第三个参数是getProcessHeap返回的handle,其他都是立即数。经过调试发现,输出的pid和port信息全在tcpTable里面,通过输出和对workFunc的传参发现该表中结构体占4X6个字节,最后4个字节存放pid,9、10字节存放大端方式的port值。所以大胆推测workFunc只是对信息作一定的处理,最后方便msgShow统一地进行输出。进入workFunc验证
看到根据pid获取程序名称,地址(zaigetFileAddress中)的功能也在此实现,stringFunc1应该就是对输出信息的处理。至此想要写出同样功能的程序我们只需要调用一次AllocateAndGetTcpExTableFromStack()即可,但是老师的意思似乎是要让我们分析这个API,于是要进到函数中去。(AllocateAndGetTcpExTableFromStack()是iphlpdll.dll里的)
进入AllocateAndGetTcpExTableFromStack()
ps:最开始的时候不知道IDA静态分析dll,用OD动态分析吃了不少苦头不过也增强了看汇编代码的能力。附上几张草稿纸
由于最终目的是要写出同样功能的程序,所以只需要获得所有API的调用情况以及具体参数就可以了。
函数的关系情况,initUnicodeString为createFile提供文件名,createEvent()为zwDeviceIoControlFile()提供handle,第一次调用的返回值为allocateHeap提供大小,第二次调用zwDeviceIoControlFile()返回了tcpTable于是zwDeviceIoControlFile()就是关键API,搞定了它的参数就可以获得pid和port。
看上去这是一个和硬件打交道的API,从第二个参数开始讲起,Event就是CreateEvent返回的handle,第三四个是立即数0,第五个是指向PIO_STATUS_BLOCK的指针,这儿没有用,第六个看名字就知道比较关键在此是0x120003,后两个也比较关键Inputbuffer,告诉Api你想要做什么,都是立即数轻易获取,每次调用都不一样,长度是固定的值0x24,outputBuffer也很关键,返回的东西就存在里面,第一次调用长度固定0x3c,allocate长度位于返回buffer最后一个字节,由一系列奇怪的计算获得。第二次传入的参数也就是allocateHeap的长度。
第一个参数Filehandle,由CreateFile返回,看到函数调用关系,每次调用DeviceIoControlFile之前都有CreateFile操作,理所应当的觉得这个参数由之前的createFile决定,但是动态分析的时候发现并不是这样,CreateFIle并没有返回句柄,而且zwDeviceIoControlFile用的是一个全局变量0x3c,这就很奇怪了,那要CreateFIle函数有什么用,全程都没用到。尝试nop掉其中所有对CreateFile的调用,程序居然能够正常出结果!猜测:第一个参数是一个固定的数值0x3c。
于是准备开始写自己的第一版程序,首先是工具,直接用WIN10上面VS2015写出来的程序被报错:不是有效的win32应用程序,于是在设置IDE的时候遇到了一连串的问题,不详细讲了只大概列出来:
- API函数未定义
- API头文件找不到
- API符号解析出错,有头文件没有实现,也就是说缺失lib
- 缺失xp工具集
- 找不到dll
- 缺失lib【最后去偷了一个lib居然成了】
- ...
第一版程序大概就实现了调用zwDeviceIoControlFile,但是!重点!但是!我没有实现createFile,因为我觉得它没用啊,没用我为什么要实现,但发现调用了之后outputBuffer啥都没有你说气人不气人,这个程序不能在win10上跑,所以只能用OD调试,最开始以为是PIO_STATUS_BLOCK的错误,因为我偷懒传递了个null,但后来发现并不是这样,我坚决不加createFile上去,因为在loadLibrabry、getProcAddress之后就直接到了allocateAndGetTcpExTableFromStack(),期间也没有机会调用这个函数,我把他nop之后能够执行说明他并没有什么亂用。
后来经过一系列的机缘巧合,我不小心在createFile里面打了一个断点,然后惊人的发现在loadLibrary的时候居然执行了这个函数,而且全局变量0x3c就是在这个时候赋值的(以前看到loadLibrary之后该变量地址就是0x3c坚定的认为他是一个死值),然后手写了一个createFile返回handle供ntDeviceIoControlFile调用就成功返回了。
返回的Tcp表是乱序的,api里用一个qsort进行排序,觉得没必要,想着能得到pid和port就行了还要啥自行车啊,没想到埋下了祸根。
事故发生的时候,我刚把Udp的部分写完,原理和Tcp类似,获取pid的算法不一样。
输出Tcp时候pid和port都是去TcpTable里面找,但是输出Udp的时候pid是在Tcp里找的意思是和Tcp输出时的pid一样,port是在UdpTable里找的。这个时候因为他的是排过序的,我的没有排过序,所以我的程序Udp输出的pid和port对应与他的不一样。
又是机缘巧合之下发现IDE可以用来分析dll,于是赶紧拖进去看看cmp函数怎么写的
int __cdecl CompareTcp6Row(int a1, int a2) { int result; // eax int v3; // eax int v4; // ecx int v5; // esi int v6; // esi int v7; // edi result = memcmp((const char *)a1, (const char *)a2, 16); if ( !result ) { v3 = *(_DWORD *)(a1 + 16); v4 = *(_DWORD *)(a2 + 16); if ( v3 != v4 ) return v3 - v4; v5 = ntohs(*(_WORD *)(a1 + 20)); v6 = v5 - ntohs(*(_WORD *)(a2 + 20)); if ( v6 ) return v6; result = memcmp((const char *)(a1 + 24), (const char *)(a2 + 24), 16); if ( !result ) { v3 = *(_DWORD *)(a1 + 40); v4 = *(_DWORD *)(a2 + 40); if ( v3 != v4 ) return v3 - v4; v7 = ntohs(*(_WORD *)(a1 + 44)); result = v7 - ntohs(*(_WORD *)(a2 + 44)); } } return result; }
int __cdecl CompareUdp6Row(int a1, int a2) { int result; // eax int v3; // eax int v4; // ecx int v5; // edi result = memcmp((const char *)a1, (const char *)a2, 16); if ( !result ) { v3 = *(_DWORD *)(a1 + 16); v4 = *(_DWORD *)(a2 + 16); if ( v3 == v4 ) { v5 = ntohs(*(_WORD *)(a1 + 20)); result = v5 - ntohs(*(_WORD *)(a2 + 20)); } else { result = v3 - v4; } } return result; }
其实这个时候我并没有什么闲心看他,因为我发现这个秘密的时候我也大胆推测得差不多了,知道现在我也没有闲心看他。
大胆推测:tcp表按照port升序,udp表首先前四字节升序,再按port升序,这样有一个疑问
当Udp表规模比Tcp表大的时候,取到的pid值其实已经超出了tcpTable的有效区域,事实也就是这样
那些6553646和0就是垃圾值。一度怀疑fport本身算法有问题。
附一张自己的程序运行结果:
以及源代码:
1 #include<iostream> 2 #include<Windows.h> 3 #include<WinBase.h> 4 #include<ntstatus.h> 5 #include<winternl.h> 6 #include<psapi.h> 7 8 using namespace std; 9 HANDLE pH; 10 int TcpCnt; 11 int UdpCnt; 12 13 typedef struct _TcpTable { 14 int v1, v2, v3, v4, v5, v6; 15 }TcpTable; 16 17 typedef struct _UdpTable { 18 int v1, v2, v3; 19 }UdpTable; 20 21 int DtoX(int value) { 22 return (((value & 0x000000FF) << 24) | ((value & 0x0000FF00) << 8) | 23 ((value & 0x00FF0000) >> 8) | 24 ((value & 0xFF000000) >> 24)) >> 16; 25 } 26 27 int cmpTcp(const void* v1, const void* v2) { 28 int a1 = DtoX((*(TcpTable*)v1).v3); 29 int a2 = DtoX((*(TcpTable*)v2).v3); 30 if (a1 < a2) 31 return -1; 32 else 33 return 1; 34 } 35 36 int cmpUdp(const void* v1, const void* v2) { 37 if ((const int)((*(UdpTable*)v1).v1) < (const int)((*(UdpTable *)v2).v1)) { 38 return 1; 39 } 40 if ((const int)((*(UdpTable*)v1).v1) > (const int)((*(UdpTable *)v2).v1)) { 41 return -1; 42 } 43 int a1 = DtoX((*(UdpTable*)v1).v2); 44 int a2 = DtoX((*(UdpTable*)v2).v2); 45 if (a1 < a2) { 46 return -1; 47 } 48 else { 49 return 1; 50 } 51 } 52 53 void GetTableFromStack(int * inputBuffer, int * outputBuffer, int outputBufferLength) { 54 HANDLE eventhandle = CreateEvent(0, 1, 0, 0); 55 if (eventhandle == NULL) { 56 printf("Create event error"); 57 return; 58 } 59 IO_STATUS_BLOCK iostatus_block; 60 NtDeviceIoControlFile(pH, eventhandle, 0, 0, &iostatus_block, 0x120003, inputBuffer, 0x24, outputBuffer, outputBufferLength); 61 CloseHandle(eventhandle); 62 } 63 64 int * AllocateAndGetUdpTable() { 65 int input1[9] = { 0x401, 0, 0x200, 0x100, 1, 0, 0, 0, 0 }; 66 int input2[9] = { 0x401, 0, 0x200, 0x100, 0x102, 0, 0, 0, 0 }; 67 int output1[5] = { 0 }; 68 GetTableFromStack(input1, output1, 0x14); 69 UdpCnt = output1[4]; 70 int TableSize = ((UdpCnt+ 0xA) * 3 + 3) * 4 - 4; 71 int * ptrToTable = (int *)malloc(TableSize); 72 GetTableFromStack(input2, ptrToTable, TableSize); 73 //qsort(); 74 return ptrToTable; 75 } 76 77 int * AllocateAndGetTcpTable() { 78 int input1[9] = { 0x400, 0, 0x200, 0x100, 1, 0, 0, 0, 0 }; 79 int input2[9] = { 0x400, 0, 0x200, 0x100, 0x102, 0, 0, 0, 0 }; 80 int output1[15] = { 0 }; 81 GetTableFromStack(input1, output1, 0x3c); 82 TcpCnt = output1[14]; 83 int TableSize = (TcpCnt + 0xA) * 24 + 0xc - 4; 84 int * ptrToTable = (int *)malloc(TableSize); 85 GetTableFromStack(input2, ptrToTable, TableSize); 86 //qsort(); 87 return ptrToTable; 88 } 89 90 void OpenTcpDriver() { 91 IO_STATUS_BLOCK ioStB; 92 PCWSTR sourceString = L"\\Device\\Tcp"; 93 UNICODE_STRING DestinationString; 94 RtlInitUnicodeString(&DestinationString, sourceString); 95 OBJECT_ATTRIBUTES objAtt; 96 objAtt.ObjectName = &DestinationString; 97 objAtt.Length = 24; 98 objAtt.RootDirectory = 0; 99 objAtt.Attributes = 64; 100 objAtt.SecurityDescriptor = 0; 101 objAtt.SecurityQualityOfService = 0; 102 NtCreateFile(&pH, 0x20000000u, &objAtt, &ioStB, 0, 0x80u, 3u, 3u, 0, 0, 0); 103 return; 104 } 105 106 void showInformation(int pid, int port) { 107 char ProcessName[28] = { '0' }; 108 char Path[409] = { '0' }; 109 char PathA[409] = { '0' }; 110 HMODULE hModule = 0; 111 HMODULE hModule2 = 0; 112 LPDWORD cbNeeded = 0; 113 LPDWORD cbNeeded2 = 0; 114 HANDLE processH = OpenProcess(0x410u, 0, pid); 115 if (processH) { 116 if (EnumProcessModules(processH, &hModule, 0x28u, (LPDWORD)&cbNeeded)) { 117 if (GetModuleBaseNameA(processH, hModule, (LPSTR)ProcessName, 0x78u)) { 118 HANDLE processH2 = OpenProcess(0x410u, 0, pid); 119 if (processH2) { 120 if (EnumProcessModules(processH2, &hModule, 4096, (LPDWORD)&cbNeeded2)) { 121 GetModuleFileNameEx(processH2, hModule2, (LPTSTR)Path, 260); 122 } 123 CloseHandle(processH2); 124 } 125 } 126 } 127 else { 128 CloseHandle(processH); 129 } 130 } 131 WideCharToMultiByte(CP_ACP, WC_COMPOSITECHECK, (LPCWSTR)Path, -1, (LPSTR)PathA, 409, NULL, NULL); 132 cout << " pid: " << pid << " port: " << port << " ProcessName: " << ProcessName << " Path: " << PathA << endl; 133 } 134 135 int main() { 136 OpenTcpDriver(); 137 int * pToTcpTable = AllocateAndGetTcpTable(); 138 qsort(pToTcpTable, TcpCnt, 24, cmpTcp); 139 int index = 0; 140 cout << "TCP information:" << endl; 141 while (TcpCnt--) { 142 int pid = pToTcpTable[index + 5]; 143 int port = DtoX(pToTcpTable[index + 2]); 144 showInformation(pid, port); 145 index += 6; 146 } 147 int * pToUdpTable = AllocateAndGetUdpTable(); 148 qsort(pToUdpTable, UdpCnt, 12, cmpUdp); 149 index = 0; 150 int index2 = 0; 151 cout << "Udp information:" << endl; 152 while (UdpCnt--) { 153 int pid = pToTcpTable[index + 5]; 154 int port = DtoX(pToUdpTable[index2 + 1]); 155 showInformation(pid, port); 156 index2 += 3; 157 index += 6; 158 } 159 return 0; 160 }