调用未知DLL中的导出函数

调用未知DLL中的导出函数

先决条件：

一个能查看DLL中导出函数的工具，Visual Studio自带的Dependency Walker，也可选择eXeScope。

一个调试器OllyDbg。

热身—函数调用约定

考虑以下C++代码：

int __cdecl max1(int a, int b)

{

return a > b ? a : b;

}

int __stdcall max2(int a, int b)

{

return a > b ? a : b;

}

int main()

{

printf("max(1, 2) of cdecl version: %d\n", max1(1, 2));

printf("max(1, 2) of stdcall version: %d\n", max2(1, 2));

return 0;

}

对应的汇编代码为：

;int __cdecl max1(int a, int b)

00401000 MOV EAX, DWORD PTR SS:[ESP+4]

00401004 MOV ECX, DWORD PTR SS:[ESP+8]

00401008 CMP EAX, ECX

0040100A JG SHORT CppTest.0040100E

0040100C MOV EAX, ECX

0040100E RETN

;int __stdcall max2(int a, int b)

00401010 MOV EAX, DWORD PTR SS:[ESP+4]

00401014 MOV ECX, DWORD PTR SS:[ESP+8]

00401018 CMP EAX, ECX

0040101A JG SHORT CppTest.0040101E

0040101C MOV EAX, ECX

0040101E RETN 8 ;被调用者的堆栈修正

;max1(1, 2)

00401030 PUSH 2

00401032 PUSH 1

00401034 CALL CppTest.00401000

00401030 ADD ESP, 8 ;调用者堆栈修正

;max2(1, 2)

0040104A PUSH 2

0040104C PUSH 1

0040104E CALL CppTest.00401010

函数参数传入函数体是借由堆栈完成的，也就是将各个参数依某种次序堆入SS中--在cdecl与stdcall约定中，这个次序都是自右而左的。另外，由于将参数推入了堆栈致使堆栈指针ESP发生了变化，所以要在函数结束的时候修正ESP。从上代码看到，cdecl约定是在调用max1之后修正ESP，而stdcall约定则是在max2返回时借由RETN 8完成了这个修正工作。

另外，从上边的汇编代码中还可看到，函数的返回值是由EAX带回的。

庖丁解牛

本文中，选择的高度示例是Fterm中附带的ipsearcher.dll，它提供了对纯真IP数据为的查询接口。

你可以看到，这里边有两个导出函数：LookupAddress和_GetAddress，那么我们可以按照返回值、调用约定、函数名、参数列表的顺序将它们声明如下：

? ? LookupAddress(?);

? ? _GetAddress(?);

是的，有太多未知，下面将要逐一地破解这些问号。

调试器不可能孤立地对DLL进行调试，我们所需要的应该是一个合适的EXE，这样有助于我们的探究工作。在这里选择提自己编写的ipsercher.exe。

打开调试器，载入ipsearcher.exe。当ipsearcher.dll被装载后，会引发一个访问异常，可以忽略这个异常继续调试。根据Dependency Walker的分析结果，在ipsearcher.dll的0x00001BB0和0x00001C40处各下一个断点。现在在“IP地址”中输入一个IP地址，点击“查询”，会发现指令跳入0x00001C40中也就是(_GetAddress)，它的代码如下：

10001C40 MOV EAX, DWORD PTR SS:[ESP+4] ;一个参数

10001C40 PUSH ipsear_1.10009BE8

10001C49 PUSH EAX

10001C4A CALL IPSear_1.LookupAddress ;两个参数

10001C4F ADD ESP, 8

10001C52 MOV EAX, ipsear1.10009BE8

10001C57 RETN ;_GetAddress也是cdecl调用约定

很短的几行代码，不过它已经可以提供这些信息了：

●从SS的使用来看，_GetAddress只带有一个参数。

●_GetAddrss中调用了LookupAddress，后者带有两个参数。

●调用LookupAddress之后进行了堆栈修正，所以LookupAddress是cdecl调用约定。

●_GetAddress返回时并未进行堆栈修正，所以_GetAddress也是cdecl调用约定。

于是，可以替换一下刚才的问号了：

? CDECL LookupAddress(?, ?);

? CDECL _GetAddress(?);

下面可以进行单步调试了，当代码步至10001C44时，你会发现寄存器窗口发生了如下的变化：

“202.27.177.9”终于出现了，这样一来我们可以继续对问号进行替换了：

? CDECL LookupAddress(PCSTR, ?);

? CDECL _GetAddress(PCSTR);

现在继续对代码进行跟踪，是进入LookupAddress的时候了。可以从先前_GetAddress的代码中可以发现，这两个导出函数一直在围绕10009BE8这个地址做文章，那么我们就要在单步调试LookupAddress的同时关注这个地址的数据改变。几步跟踪之后，你会发现10009BE8开头的8字节(两个DWORD)数据发生了改变，变成了10009AB4和10009B1C。那么我们再转向这两个地址，会发现：

这样一来就很清楚了，10009BE8是一个字符串指针的数组，它有两个元素。也就是说，我们的函数声明可以换成这样：

? CDECL LookupAddress(PCSTR, PSTR*);

PSTR* CDECL _GetAddress(PCSTR);

接下来需要确定的就是LookupAddress的返回值了。纵观LookupAddress的返回代码，你会发现这样的片断：：片断1

10001C0B XOR EAX, EAX

10001C0D POP ESI

10001C0E RETN

：片断2

10001C2B MOV EAX, 1

10001C30 POP ESI

10001C31 RETN

也就是说，这个函数有两个返回值：0或1。那么最后的真向终于大白天下：

BOOL CDECL LookupAddress(PCSTR, PSTR*);

PSTR* CDECL ) _GetAddress(PSTR);

GetProcAddress?

接下来就是用typedef定义函数指针，然后用LoadLibrary、GetProcAddress调用这些函数的事情了。

首先建立一个名为ipsearcher.def的文件，然后在其中写入以下内容：

LIBRARY “ipsearcher”

EXPORTS

LookupAddress @1

_GetAddress @2

将文件保存后，进入到命令行模式下，输入命令：

lib /def:ipsearcher.def

执行的结果有一个警告，不必理会。这时将生成一个ipsearcher.lib。

然后，继续编写ipsearhcer.h文件，如下：

#ifndef IPSEARCHER_H

#define IPSEARCHER_H

#include

#paragma comment(lib, "ipseracher.lib")

extern "C"

{

BOOL CDECL LookupAddress(PCSSTR, PSTR*);

PSTR* CDECL _GetAddress(PCSTR);

};

#endif //IPSEARCHER_H

大功告成！这样我们就为这个光秃秃的ipsearcher.dll做了一个SDK开发包，而不必再使用动态加载的方法了。