摘要: 几个月前我小小的研究了在WOW64下的32位进程中运行native x64代码。第二个设想是在64位进程下运行x86代码。它们都是可以的，如我google的一样，已经有人在使用这两种方法了：●http://vx.netlux.org/lib/vrg02.html ...
|
几个月前我小小的研究了在WOW64下的32位进程中运行native x64代码。
第二个设想是在64位进程下运行x86代码。它们都是可以的，如我google的一样，已经有人在使用这两种方法了：
●http://vx.netlux.org/lib/vrg02.html
●http://www.corsix.org/content/dll-injection-and-wow64
●http://int0h.wordpress.com/2009/12/24/the-power-of-wow64/
●http://int0h.wordpress.com/2011/02/22/anti-anti-debugging-via-wow64/
当我研究的时候还没有看上面搜索到的结果，所以下面仅仅代表我自己的见解；
x86 <-> x64 Transition（x86和x64之间的转换）
最早来检查x86到x64转换的方法，是观察windows中32位版本和64位版本的ntdll.dll中的任意syscall：
正如你所见，在64位系统上新的call fs:[0xC0](wow64cpu!X86SwitchTo64BitMode) 代替了标准call ntdll.KiFastSystemCall.
wow64cpu!X86SwitchTo64BitMode 执行了一个简单的远跳转到64位的段中了：
wow64cpu!X86SwitchTo64BitMode:
748c2320 jmp 0033:748C271E ;wow64cpu!CpupReturnFromSimulatedCode
这就是64位Windows系统上转换x64和x86后面的魔术。
此外它也能在非WoW64进程中运行(标准的native 64位应用程序)，所以32位代码也能运行在64位应用程序中。
总结一下，运行在64位Windows中的每个进程(x86和x64)，都分配了两个代码段：
●cs = 0×23 -> x86 mode
●cs = 0×33 -> x64 mode
Running x64 code inside 32-bits process（在32位进程中运行x64代码）
首先，我准备了一些宏，将用它来标记64位代码的开始和结尾：
执行完X64_Start()宏后，CPU直接转换到x64模式，执行完X64_End()宏后立即回到x86模式。
由于远返回的opcode，以上宏都是位置独立的。
能够调用x64版本的APIs是非常有用的。我尝试加载过x64版本的kernel32.dll，它不是一个微不足道的任务，并且我失败了，所以我需要坚持使用Native API。x64版本的kernel32.dll的主要问题是在已经加载x86版本的kernel32.dll的情况下，x64 kernel32.dll有一些额外的检查来阻止正常的加载。我相信通过一些猥琐的hook来拦截kernel32!BaseDllInitialize能达到目的，但是这是非常复杂的任务。当我开始研究的时候，我是在WIndowsVista上，并且我能加载(用一些hacks)64位版本的kernel32和user32库，但是他们没有完整的功能，同时我又转换到Windows7，使用在Vista上的方法不能够正常工作了。
让我们回到主题上，为了使用Native APIs，我需要定位内存中你给的x64版本的ntdll.dll。为了完成这个任务，我需要解析_PEB_LDR_DATA结构中的InLoadOrderModuleLi
-st。64位的_PEB被64位的_TEB包含，并且64位_TEB类似于x86平台的(在x64上我们需要使用gs段代替fs)：
mov eax, gs:[0x30]
它甚至可以更简单，因为 wow64cpu!CpuSimulate(负责转换CPU到x86模式的函数)将gs:[0x30]的值移动到r12寄存器中，所以我们的getTEB64()版本看起来像这样
WOW64名字空间定义在“os_structs.h”文件中，随后将会和其他示例代码添加到文章尾部。
负责定位64位ntdll.dll函数定义如下：
为了完整支持x64 Native API调用，我们还需要等价于GetProcAddress的函数，通过ntdll!LdrGetProcedureAddress更容易的交流。下面代码负责获取LdrGetProcedureAddress的地址：
为了锦上添花，我将介绍有用的函数，能让我在x86的C/C++代码中直接的调用x64 Native APIs：
|
105
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
