在线枚举内核模块函数及地址（win64位）
本文共 2444 字，大约阅读时间需要 8 分钟。
#include#include #include #include #include "dbghelp.h"//#include "imagehlp.h"#pragma comment(lib,"dbghelp.lib")#pragma comment(lib, "Imagehlp.lib")extern "C" { PLOADED_IMAGE IMAGEAPI ImageLoad( PCSTR DllName, PCSTR DllPath ); BOOL IMAGEAPI ImageUnload( PLOADED_IMAGE LoadedImage );}BOOL CALLBACK EnumSymCallBack(PSYMBOL_INFO pSymInfo, ULONG SymbolSize, PVOID UserContext){ if (strcmp((pSymInfo->Name), "NtUserSetImeInfoEx") == 0 ) { } printf("%-100s :%p\n", pSymInfo->Name, pSymInfo->Address); return TRUE;}int main(){ std::string strMod; PVOID dwBaseAddr = 0; PVOID pDrvAddr[128 * 8]; DWORD dwcbNeeded = 0; if (EnumDeviceDrivers(pDrvAddr, sizeof(pDrvAddr), &dwcbNeeded)) { for (unsigned int i = 0; i<(dwcbNeeded / 8); i++) { LPSTR chDrvName[MAX_PATH]; GetDeviceDriverBaseNameA(pDrvAddr[i], (LPSTR)chDrvName, MAX_PATH); dwBaseAddr = pDrvAddr[i]; strMod = std::string((char*)chDrvName); printf("%-20s 0x%p\n", strMod.c_str(), dwBaseAddr); break; } } SymSetOptions(SYMOPT_DEFERRED_LOADS); HANDLE hProcess = GetCurrentProcess(); //PLOADED_IMAGE ploadImage = ImageLoad("win32k.sys", NULL); PLOADED_IMAGE ploadImage = ImageLoad("win32kbase.sys", NULL); SymInitialize(hProcess, 0, FALSE); std::string strSymbolPath = "srv*C:\\Windows\\symbols*http://msdl.microsoft.com/download/symbols"; std::string strSystemPath = "C:\\Windows\\System32\\" + strMod; SymSetSearchPath(hProcess, strSymbolPath.c_str()); HANDLE hSystemFile = CreateFileA(strSystemPath.c_str(), GENERIC_READ, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, 0, NULL); DWORD dwFileSize = GetFileSize(hSystemFile, NULL); //当前模块 //DWORD64 dwBase = SymLoadModule64(hProcess, NULL, strSystemPath.c_str(), NULL, (DWORD64)dwBaseAddr, dwFileSize); //win32k.sys模块 DWORD64 dwBase = SymLoadModule64(hProcess, ploadImage->hFile, strSystemPath.c_str(), NULL, (DWORD64)dwBaseAddr, dwFileSize); printf("正在枚举符号...\n"); SymEnumSymbols(hProcess, dwBase, 0, EnumSymCallBack, 0); printf("枚举符号结束...\n"); SymUnloadModule64(hProcess, dwBase); SymCleanup(hProcess); system("pause"); return 0;}
需要三个 dll 及连网
转载于:https://blog.51cto.com/haidragon/2154932
你可能感兴趣的文章
Dom4j学习笔记
查看>>
C语言 HTTP上传文件-利用libcurl库上传文件
查看>>
[MEAN Stack] First API -- 7. Using Route Files to Structure Server Side API
查看>>
调试逆向分为动态分析技术和静态分析技术(转)
查看>>
业务对象和BAPI
查看>>
微软职位内部推荐-Senior Software Engineer
查看>>
程序中的魔鬼数字
查看>>
session cookie
查看>>
$.extend({},defaults, options) --（初体验三）
查看>>
android 一步一步教你集成tinker（热修复）
查看>>
到底有多少内存
查看>>
centos7.3 安装ovirt-engine4.0 版本
查看>>
Openstack的环境的Mitaka部署环境服务，实例(1)
查看>>
文档的压缩与打包
查看>>
python3 在不同操作系统安装第三方库方法
查看>>
python编写登录接口
查看>>
MySQL高可用方案之多级复制
查看>>
OVS 中的各种网络设备 - 每天5分钟玩转 OpenStack（128）
查看>>
Trafficserver Cluster模式
查看>>
亚马逊推出 Blox，用于 EC2 容器服务的开源工具集合
查看>>