利用PDB文件获取未导出全局变量、函数等信息
< 返回列表时间: 2020-06-29来源:OSCHINA
方法来源于对Sysinternals的procexp的逆向。
在通过kernel的pdb获取未导出的MmSizeOfPagedPoolInBytes和MmMaximumNonPagedPoolInBytes时,procexp执行了如下几个步骤:
1. 获取kernel的映像文件名称
调用IsProcessorFeaturePresent判断PAE是否开启,以确定使用ntoskrnl.exe还是ntkrnlpa.exe。
2. 获取kernel在内存中的基址
调用NtQuerySystemInformation,使用SystemModuleInformation(0x0B)枚举模块,并使用1中获得的文件名查找,确定kernel在内存中的基址。
3. 拼接kernel的完整路径,使用CreateFile(access:GENERIC_READ)打开。
4. 调用SetEnvironmentVariable设置_NT_SYMBOL_PATH为符号文件所在路径。
5. 调用SymInitialize。
6. 调用SymLoadModule64,用到3中得到的kernel文件的句柄。
7. 调用SymGetSymFromName,由IMAGEHLP_SYMBOL获得Address。
8. 调用SymCleanup。
这样,7中所得到Address | 0x80000000就是要找的内核地址了。
————————————————
版权声明:本文为CSDN博主「0902horn」的原创文章,遵循CC 4.0 BY-SA版权协议,转载请附上原文出处链接及本声明。
原文链接:https://blog.csdn.net/xiaoxinjiang/article/details/7013488
热门排行