Windows x64平台获取PEB表，并获取kernel32.dll的基址,并获取它的函数

原创

DT陶喆 2022-12-29 15:34:42 博主文章分类：汇编 ©著作权

©著作权归作者所有：来自51CTO博客作者DT陶喆的原创作品，请联系作者获取转载授权，否则将追究法律责任

话不多说，进入正题：

首先是获取PEB基址，先得懂怎么在64位平台嵌入汇编代码：

汇编代码：

.CODE
  GetPeb PROC
    mov rax,gs:[60h]
  ret
  GetPeb ENDP
 END

外部头文件引用：

extern "C" PVOID64 _cdecl GetPeb();

然后获取Kernel32基址：

HMODULE getKernel32Address()
{
  PVOID64 Peb = GetPeb();
  PVOID64 LDR_DATA_Addr = *(PVOID64**)((BYTE*)Peb+0x018);  //0x018是LDR相对于PEB偏移   存放着LDR的基地址
  UNICODE_STRING* FullName; 
  HMODULE hKernel32 = NULL;
  LIST_ENTRY* pNode = NULL;
  pNode =(LIST_ENTRY*)(*(PVOID64**)((BYTE*)LDR_DATA_Addr+0x30));  //偏移到InInitializationOrderModuleList
  while(true)
  {
    FullName = (UNICODE_STRING*)((BYTE*)pNode+0x38);//BaseDllName基于InInitialzationOrderModuList的偏移
    if(*(FullName->Buffer+12)=='\0')
    {
      hKernel32 = (HMODULE)(*((ULONG64*)((BYTE*)pNode+0x10)));//DllBase
      break;
    }
    pNode = pNode->Flink;
  }
  return hKernel32;
}

然后就是根据上面方法得到的地址，函数名，获取对应函数的地址：

PVOID GetAddressFromExportTable(PVOID pBaseAddress, PCHAR pszFunctionName)
{
  PVOID get_address;
  ULONG ulFunctionIndex = 0;
  // Dos Header
  PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pBaseAddress;
  // NT Header
  PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((PUCHAR)pDosHeader + pDosHeader->e_lfanew);
  // Export Table
  PIMAGE_EXPORT_DIRECTORY pExportTable = (PIMAGE_EXPORT_DIRECTORY)((PUCHAR)pDosHeader + pNtHeaders->OptionalHeader.DataDirectory[0].VirtualAddress);
  // 有名称的导出函数个数
  ULONG ulNumberOfNames = pExportTable->NumberOfNames;
  // 导出函数名称地址表
  PULONG lpNameArray = (PULONG)((PUCHAR)pDosHeader + pExportTable->AddressOfNames);
  PCHAR lpName = NULL;
  // 开始遍历导出表
  for (ULONG i = 0; i < ulNumberOfNames; i++)
  {
    lpName = (PCHAR)((PUCHAR)pDosHeader + lpNameArray[i]);
    // 判断是否查找的函数
    if (0 == _strnicmp(pszFunctionName, lpName, strlen(pszFunctionName)))
    {
      // 获取导出函数地址
      USHORT uHint = *(USHORT *)((PUCHAR)pDosHeader + pExportTable->AddressOfNameOrdinals + 2 * i);
      ULONG ulFuncAddr = *(PULONG)((PUCHAR)pDosHeader + pExportTable->AddressOfFunctions + 4 * uHint);
      get_address = (PVOID)((PUCHAR)pDosHeader + ulFuncAddr);
      break;
    }
  }
  return get_address;
}