C++ RtlFindExportedRoutineByName

[Dimedrol]

Понемногу начинаю изучать прототипы функций.
И тут возник вопрос.
Для получения экспортных функций нужно использовать RtlFindExportedRoutineByName,которая ломает всю концепцию идеи.
В ring3 есть свои функции по замене.
А как быть в ring0?

 

[ohyouagain]

Пожалуйста, авторизуйтесь для просмотра ссылки.

 

[es3n1n]

А как быть в ring0?

MmGetSystemRoutineAddress если чет из нтоскрнл хочешь найти
ну а так, таблица экспортов у драйверов то вся та же, никто не мешает ее тебе парсить
к примеру https://github.com/hypervisor/kli/blob/master/kli.hpp#L377

 

[og]

MmGetSystemRoutineAddress если чет из нтоскрнл хочешь найти
ну а так, таблица экспортов у драйверов то вся та же, никто не мешает ее тебе парсить
к примеру

Пожалуйста, авторизуйтесь для просмотра ссылки.

Или например спиздить напрямую из ReactOS код если лень реверсить)))

PVOID
NTAPI
RtlFindExportedRoutineByName(
  _In_ PVOID DllBase,
  _In_ PANSI_STRING ExportName
  )
{
  //
  // RtlFindExportedRoutineByName is not exported by ntoskrnl until Win10.
  // Following code is borrowed from ReactOS.
  //

  PULONG NameTable;
  PUSHORT OrdinalTable;
  PIMAGE_EXPORT_DIRECTORY ExportDirectory;
  LONG Low = 0, Mid = 0, High, Ret;
  USHORT Ordinal;
  PVOID Function;
  ULONG ExportSize;
  PULONG ExportTable;

  //
  // Get the export directory.
  //

  ExportDirectory = RtlImageDirectoryEntryToData(DllBase,
                                                 TRUE,
                                                 IMAGE_DIRECTORY_ENTRY_EXPORT,
                                                 &ExportSize);

  if (!ExportDirectory)
  {
    return NULL;
  }

  //
  // Setup name tables.
  //

  NameTable    = (PULONG) ((ULONG_PTR)DllBase + ExportDirectory->AddressOfNames);
  OrdinalTable = (PUSHORT)((ULONG_PTR)DllBase + ExportDirectory->AddressOfNameOrdinals);

  //
  // Do a binary search.
  //

  High = ExportDirectory->NumberOfNames - 1;
  while (High >= Low)
  {
    //
    // Get new middle value.
    //

    Mid = (Low + High) >> 1;

    //
    // Compare name.
    //

    Ret = strcmp(ExportName->Buffer, (PCHAR)DllBase + NameTable[Mid]);
    if (Ret < 0)
    {
      //
      // Update high.
      //
      High = Mid - 1;
    }
    else if (Ret > 0)
    {
      //
      // Update low.
      //
      Low = Mid + 1;
    }
    else
    {
      //
      // We got it.
      //
      break;
    }
  }

  //
  // Check if we couldn't find it.
  //

  if (High < Low)
  {
    return NULL;
  }

  //
  // Otherwise, this is the ordinal.
  //

  Ordinal = OrdinalTable[Mid];

  //
  // Validate the ordinal.
  //

  if (Ordinal >= ExportDirectory->NumberOfFunctions)
  {
    return NULL;
  }

  //
  // Resolve the address and write it.
  //

  ExportTable = (PULONG)((ULONG_PTR)DllBase + ExportDirectory->AddressOfFunctions);
  Function = (PVOID)((ULONG_PTR)DllBase + ExportTable[Ordinal]);

  //
  // We found it!
  //

  NT_ASSERT(
    (Function < (PVOID)ExportDirectory) ||
    (Function > (PVOID)((ULONG_PTR)ExportDirectory + ExportSize))
  );

  return Function;
}

 

[es3n1n]

Или например спиздить напрямую из ReactOS код если лень реверсить)))

или подключить просто https://github.com/can1357/linux-pe

 

[og]

или подключить просто

Пожалуйста, авторизуйтесь для просмотра ссылки.

Или подключить это

Пожалуйста, авторизуйтесь для просмотра ссылки.

 

[es3n1n]

Или подключить это https://github.com/hypervisor/kli

ты че охуел я это в первом посте скинул

 

[og]

ты че охуел я это в первом посте скинул

Ты исправил пост)))))

 

[Dimedrol]

Пожалуйста, авторизуйтесь для просмотра ссылки.

НО оно не совсем корректно работает.

 

[og]

НО оно не совсем корректно работает.

А посмотреть почему не захотелось?
Может быть это из-за их метода получения ntoskrnl?

Либа рабочая. Её работоспособность зависит от человека использующего эту либу.

 

[Dimedrol]

Или например спиздить напрямую из ReactOS код если лень реверсить)))

PVOID
NTAPI
RtlFindExportedRoutineByName(
  _In_ PVOID DllBase,
  _In_ PANSI_STRING ExportName
  )
{
  //
  // RtlFindExportedRoutineByName is not exported by ntoskrnl until Win10.
  // Following code is borrowed from ReactOS.
  //

  PULONG NameTable;
  PUSHORT OrdinalTable;
  PIMAGE_EXPORT_DIRECTORY ExportDirectory;
  LONG Low = 0, Mid = 0, High, Ret;
  USHORT Ordinal;
  PVOID Function;
  ULONG ExportSize;
  PULONG ExportTable;

  //
  // Get the export directory.
  //

  ExportDirectory = RtlImageDirectoryEntryToData(DllBase,
                                                 TRUE,
                                                 IMAGE_DIRECTORY_ENTRY_EXPORT,
                                                 &ExportSize);

  if (!ExportDirectory)
  {
    return NULL;
  }

  //
  // Setup name tables.
  //

  NameTable    = (PULONG) ((ULONG_PTR)DllBase + ExportDirectory->AddressOfNames);
  OrdinalTable = (PUSHORT)((ULONG_PTR)DllBase + ExportDirectory->AddressOfNameOrdinals);

  //
  // Do a binary search.
  //

  High = ExportDirectory->NumberOfNames - 1;
  while (High >= Low)
  {
    //
    // Get new middle value.
    //

    Mid = (Low + High) >> 1;

    //
    // Compare name.
    //

    Ret = strcmp(ExportName->Buffer, (PCHAR)DllBase + NameTable[Mid]);
    if (Ret < 0)
    {
      //
      // Update high.
      //
      High = Mid - 1;
    }
    else if (Ret > 0)
    {
      //
      // Update low.
      //
      Low = Mid + 1;
    }
    else
    {
      //
      // We got it.
      //
      break;
    }
  }

  //
  // Check if we couldn't find it.
  //

  if (High < Low)
  {
    return NULL;
  }

  //
  // Otherwise, this is the ordinal.
  //

  Ordinal = OrdinalTable[Mid];

  //
  // Validate the ordinal.
  //

  if (Ordinal >= ExportDirectory->NumberOfFunctions)
  {
    return NULL;
  }

  //
  // Resolve the address and write it.
  //

  ExportTable = (PULONG)((ULONG_PTR)DllBase + ExportDirectory->AddressOfFunctions);
  Function = (PVOID)((ULONG_PTR)DllBase + ExportTable[Ordinal]);

  //
  // We found it!
  //

  NT_ASSERT(
    (Function < (PVOID)ExportDirectory) ||
    (Function > (PVOID)((ULONG_PTR)ExportDirectory + ExportSize))
  );

  return Function;
}

Ваша информация очень сильно помогла.
Я остановился на вашем посте.

А посмотреть почему не захотелось?
Может быть это из-за их метода получения ntoskrnl?

Либа рабочая. Её работоспособность зависит от человека использующего эту либу.