驅動下Wow64棧回溯和進程模塊枚舉

很久沒寫驅動代碼，最近又摸了一下。

在驅動中回溯調用棧，找到特定模塊，獲取模塊地址、大小、路徑等信息，然後…。

堆棧回溯

驅動中通常使用RtlWalkFrameChain來獲取調用棧信息，接口如下：

ULONG
RtlWalkFrameChain(OUT PVOID *Callers, IN ULONG Count, IN ULONG Flags);
//Callers一個PVOID數組，保存棧中retaddr值
//Count表示數組大小
//Flags=0獲取內核層棧信息，=1獲取應用層棧信息
//返回值表示棧的層數

還有其他函數，未使用：

VOID
RtlGetCallersAddress(
    OUT PVOID *CallersAddress, //address to save the first caller.
    OUT PVOID *CallersCaller   //address to save the second caller.
)
RtlCaptureStackBackTrace

其實對於單純的x86(ring3)->x86(ring0)，和x64(ring3)->x64(ring0)沒甚麼好說的，就是普通的棧信息。

我這裏要着重提的是x86(ring3)->x64(ring0)，也就是64位系統的32位程序在進行系統調用時的堆棧（稱爲Wow64）。

先看看CreateFile的棧信息。Windbg並不能直接通過k顯示wow64到內核的所有棧信息，wow64部分需要通過擴展指令切換，具體如下：

1: kd> kvn
 # Child-SP          RetAddr           : Args to Child                                                           : Call Site
05 fffff880`026cf940 fffff800`041dc574 : 00000000`0027e0d8 fffff960`c0100080 00000000`0027e9a0 00000000`0027e0f0 : nt!IopCreateFile+0x2bc
06 fffff880`026cf9e0 fffff800`03ecf693 : fffffa80`19646060 fffff880`026cfb60 00000000`0027e028 00000000`fffffffc : nt!NtCreateFile+0x78
07 fffff880`026cfa70 00000000`7796c08a : 00000000`73c8c1ff 00000000`001deeb0 00000000`001deec8 00000000`00000000 : nt!KiSystemServiceCopyEnd+0x13 (TrapFrame @ fffff880`026cfae0)
08 00000000`0027e068 00000000`73c8c1ff : 00000000`001deeb0 00000000`001deec8 00000000`00000000 00000000`00000000 : ntdll!ZwCreateFile+0xa
09 00000000`0027e070 00000000`73c7d18f : 00000000`001deeb0 00000000`00000000 00000000`00000000 00000000`00000060 : wow64!whNtCreateFile+0x10f
0a 00000000`0027e140 00000000`73c02776 : 00000000`76c572b9 00000000`73c70023 00000000`00000246 00000000`001dee38 : wow64!Wow64SystemServiceEx+0xd7
0b 00000000`0027ea00 00000000`73c7d286 : 00000000`00000000 00000000`73c01920 00000000`77a303c8 00000000`7794ca81 : wow64cpu!ServiceNoTurbo+0x2d
0c 00000000`0027eac0 00000000`73c7c69e : 00000000`00000000 00000000`00000000 00000000`73c74b10 00000000`7ffe0030 : wow64!RunCpuSimulation+0xa
0d 00000000`0027eb10 00000000`7795f9b6 : 00000000`00332db0 00000000`00000000 00000000`77a4d670 00000000`77a20910 : wow64!Wow64LdrpInitialize+0x42a
0e 00000000`0027f060 00000000`779bbb89 : 00000000`00000000 00000000`7795f1d1 00000000`0027f610 00000000`00000000 : ntdll!LdrpInitializeProcess+0x17e3
0f 00000000`0027f550 00000000`7794a0ee : 00000000`0027f610 00000000`00000000 00000000`7efdf000 00000000`00000000 : ntdll! ?? ::FNODOBFM::`string'+0x22a30
10 00000000`0027f5c0 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : ntdll!LdrInitializeThunk+0xe
1: kd> !wow64exts.sw
Switched to Guest (WoW) mode
1: kd:x86> kvn
The context is partially valid. Only x86 user-mode context is available.
 # ChildEBP          RetAddr           Args to Child                                         
00 001dee2c 76f1c76b 001deec8 c0100080 001dee6c ntdll_77b00000!NtCreateFile+0x12 (FPO: [11,0,0])
01 001deed0 75583f66 00000060 c0100080 00000003 KERNELBASE!CreateFileW+0x35e (FPO: [Non-Fpo])
02 001deefc 755853c4 004b4d90 c0000000 00000003 kernel32!CreateFileWImplementation+0x69 (FPO: [Non-Fpo])
03 001def2c 013259e2 001def78 c0000000 00000003 kernel32!CreateFileA+0x37 (FPO: [Non-Fpo])

而RtlWalkFrameChain(x, n, 1)是可以完整獲取到wow64到nt之前的所有應用層棧信息。如下：

00000000`7796c08a //ntdll!ZwCreateFile+0xa
00000000`73c8c1ff
00000000`73c7d18f
00000000`73c02776
00000000`73c7d286
00000000`73c7c69e
00000000`7795f9b6
00000000`779bbb89
00000000`7794a0ee
//00000000`00000000 沒有這層
76f1c76b //ntdll_77b00000!NtCreateFile+0x12
75583f66
755853c4
013259e2

需要注意的是，兩個ntdll並不一樣（ntdll_77b00000是32位dll），並且ntdll中間出現了wow64和wow64cpu兩個模塊，這就涉及到具體x86調用（wow64）如何切換到x64了，這裏不展開。

進程模塊枚舉

可能大家都知道驅動中枚舉模塊的一種方法（非ZwQuerySystemInformation、SystemModuleInformation ），使用進程Peb->Ldr鏈表枚舉，可以獲取到模塊的路徑、基址、大小等信息。

下面是通常驅動下獲取模塊信息的代碼，適用於x64內核獲取x64進程模塊信息以及x86內核獲取x86進程模塊信息。

//通過模塊名獲取模塊基址、大小、全路徑等信息
Peb = GetProcessPeb(Process);
Ldr = Peb->Ldr;
if (Ldr && Ldr->Initialized)
{
	if (!IsListEmpty(&Ldr->InLoadOrderModuleList))
	{
		ListPtr = ListHead = Ldr->InLoadOrderModuleList.Flink;
		do
		{
			pLdrDataEntry = CONTAINING_RECORD(ListPtr, LDR_DATA_TABLE_ENTRY, InLoadOrderLinks);
			if (RtlEqualUnicodeString(&pLdrDataEntry->BaseDllName, Target, TRUE))
			{
				if (Base) {
					*Base = (ULONG_PTR)pLdrDataEntry->DllBase;
				}
				if (Size) {
					*Size = pLdrDataEntry->SizeOfImage;
				}
				Status = STATUS_SUCCESS;
				break;
			}
			ListPtr = ListPtr->Flink;
		} while (ListPtr->Flink != ListHead);
	}

那特殊的Wow64又有什麼不同呢？（x64內核獲取x86進程模塊信息）。

對於wow64進程來說，EPROCESS結構中有個特殊字段保存wow64的peb結構。

struct _EPROCESS
{
	PVOID Wow64Process;//
}

Win7之前Wow64Process是_WOW64_PROCESS結構，內部包含字段位wow64的peb，win7後Wow64Process直接就是wow64的peb。

直接就可以通過PsGetProcessWow64Process（未文檔化函數）來獲取到該字段。

Peb = PsGetProcessWow64Process(Process); //Process->Wow64Process

wow64的peb結構不再是_PEB，而是使用於wow64的_PEB32，一大特點就是所有的地址都是32位的，爲了在x64下定義這種字段，只好使用ULONG。

#pragma pack(push, 1)
typedef struct _PEB32 {
	BOOLEAN InheritedAddressSpace;      // These four fields cannot change unless the
	BOOLEAN ReadImageFileExecOptions;   //
	BOOLEAN BeingDebugged;              //
	BOOLEAN SpareBool;                  //
	ULONG Mutant;                      // INITIAL_PEB structure is also updated.

	ULONG ImageBaseAddress;
	ULONG Ldr;//PPEB_LDR_DATA32
}PEB32, *PPEB32;
#pragma pack(pop)

結構中Ldr位32位地址指針，使用ULONG定義，Ldr也是特殊的_PEB_LDR_DATA32結構，字段和普通的_PEB_LDR_DATA完全一致，只是地址全爲ULONG（32位，x64地址爲64位）。

typedef struct _PEB_LDR_DATA32 {
	ULONG Length;
	ULONG Initialized;//bool
	ULONG SsHandle;
	LIST_ENTRY32 InLoadOrderModuleList;
	LIST_ENTRY32 InMemoryOrderModuleList;
	LIST_ENTRY32 InInitializationOrderModuleList;
	ULONG EntryInProgress;//pvoid
} PEB_LDR_DATA32, *PPEB_LDR_DATA32;

如此wow64進程模塊信息獲取的方法也出來了。

#define UlongToPtr(ul) ULongToPtr(ul)
#define ULongToPtr( ul ) ((VOID *)(ULONG_PTR)((unsigned long)ul))

Peb = PsGetProcessWow64Process(Process);
Ldr = UlongToPtr(Peb->Ldr);
if (Ldr && Ldr->Initialized)
{
	if (UlongToPtr(Ldr->InLoadOrderModuleList.Flink) != &Ldr->InLoadOrderModuleList)
	{
		ListPtr = ListHead = UlongToPtr(Ldr->InLoadOrderModuleList.Flink);
		do
		{
			pLdrDataEntry = CONTAINING_RECORD(ListPtr, LDR_DATA_TABLE_ENTRY32, InLoadOrderLinks);
			RtlZeroMemory(ModuleName, MAX_PATH*sizeof(WCHAR));
			RtlCopyMemory(ModuleName, UlongToPtr(pLdrDataEntry->BaseDllName.Buffer),
						pLdrDataEntry->BaseDllName.Length > MAX_PATH*sizeof(WCHAR) ? 
						MAX_PATH*sizeof(WCHAR):pLdrDataEntry->BaseDllName.Length);
			RtlInitUnicodeString(&Name, ModuleName);
			if (RtlEqualUnicodeString(&Name, Target, TRUE))
			{
				if (Base) {
					*Base = (ULONG_PTR)pLdrDataEntry->DllBase;
				}
				if (Size) {
					*Size = pLdrDataEntry->SizeOfImage;
				}
				Status = STATUS_SUCCESS;				
				break;
			}
			ListPtr = UlongToPtr(ListPtr->Flink);
		} while (ListPtr->Flink != (ULONG)ListHead);
	}
}

搞定。

參考：

1.http://www.cnblogs.com/welfear/archive/2010/11/16/1878503.html
2.http://www.kernelmode.info/forum/viewtopic.php?t=2516
3.http://rce.co/category/wow64/