Signature Scanning(中文暂时译为"特征码扫描")是在C++(起码我是用C++^^)开发中很好的一种方式

1.介绍

本文主要简单介绍在没有代码的情况下,如何从一个动态链接库中获取某个函数的址.主要实现方式为Signature Scanning(特征码扫描)

2.什么是Signature Scanning(特征码扫描)

我就简单解释一下,其实就是从一个二进制文件的开始位置扫描,一直到文件的末尾的这样一项工作,当扫到某一段与我们所需要的符合时,

那么就说明查找到目标的地址.(感觉说得不够好,这里大家自己补补吧^^.https://wiki.alliedmods.net/Signature_Scanning#What_is_Sigscanning.3F,

当然有C++底的,应该可以通过我下面的代码就能理解了哈^^)

3.准备工作

1).通过逆向工具,这里我推荐IDA哈,如果你有其它工具能得到特征码,那也行.至于IDA自己想办法哈,这里我就不提供了

2).查看此文章以了解如何获取特征码.

3).所需要的二进制文件,与特征码

4.正式开始

1.获取某二进制文件的基地址与大小,可能通过以下函数获得

 1 DWORD MH_GetModuleBase(HMODULE hModule) //获取二进制文件的基地址

 2 {

 3     MEMORY_BASIC_INFORMATION mem;

 4

 5     if (!VirtualQuery(hModule, &mem, sizeof(MEMORY_BASIC_INFORMATION)))

 6         return 0;

 7

 8     return (DWORD)mem.AllocationBase;

 9 }

10

11 DWORD MH_GetModuleSize(HMODULE hModule) //获取二进制文件的大小

12 {

13     return ((IMAGE_NT_HEADERS *)((DWORD)hModule + ((IMAGE_DOS_HEADER *)hModule)->e_lfanew))->OptionalHeader.SizeOfImage;

14 }

2.然后就能过以下函数在加载该进制文件后进行扫描

 1 void *MH_SearchPattern(void *pStartSearch, DWORD dwSearchLen, char *pPattern, DWORD dwPatternLen)

 2 {

 3     DWORD dwStartAddr = (DWORD)pStartSearch;

 4     DWORD dwEndAddr = dwStartAddr + dwSearchLen - dwPatternLen;

 5

 6     while (dwStartAddr < dwEndAddr) //这里从文件的开始位置扫描,如果没有找到指定特征码的位置的话,就会跳出循环并结束扫描工作;否则会返回所查到的址

 7     {

 8         bool found = true;

 9

10         for (DWORD i = 0; i < dwPatternLen; i++)

11         {

12             char code = *(char *)(dwStartAddr + i);

13             //0x2A为跳转码的转换,比如当某一部分为 E8 AB CD 2E 76     call sub_xxxxxxxx时,

14             //那么此时除了E8之外,其它的应该更换为2A

15             if (pPattern[i] != 0x2A && pPattern[i] != code)

16             {

17                 found = false;

18                 break;

19             }

20         }

21

22         if (found)

23             return (void *)dwStartAddr;

24

25         dwStartAddr++;

26     }

27

28     return 0;

29 }

如果扫描成功,会返回该特征码存在的地址否则返回空

5.这样做有什么用?

对于函数挂勾有非常大的作用,可能通过Inline Hook直接勾函数,接下来要干什么就自己做吧^^,欢迎吐

槽

补充大概用法:

 1 #define SIG_FUNC "\x55\x8B\xEC\x53\x56\x8B\xF1\x57\x8B\x4E\x2A\xE8\x2A\x2A\x2A\x2A\x56\xB9\x2A\x2A\x2A\x2A\xE8\x2A\x2A\x2A\x2A\x6A"

 2

 3

 4 void *g_pOrigin = NULL;

 5 HMODULE g_hModule = NULL;

 6 DWORD g_dwBase, g_dwSize;

 7

 8 g_hModule = LoadLibrary("my.dll");

 9 g_dwBase = MH_GetModuleBase(g_hModule);

10 g_dwSize = MH_GetModuleSize(g_hModule);

11 g_pOrigin = MH_SearchPattern(g_dwBase, g_dwSize, SIG_FUNC, sizeof(SIG_FUNC) - 1);

12

13 正常情况下,g_pOrigin返回就是特征所指向的函数地址了^^

巴特西