本次要做的尝试是通过修改导出表的函数地址,实现程序功能的更改,实现这个最大的限制就是堆栈平衡问题。
先写一个DLL和EXE为了测试。
DLL代码如下:
这样的话有两个导出函数(我们假设是一个密码验证之后执行的函数):
EXE测试代码如下:
也就是简单模拟下DLL调用,默认情况下因为密码错误,所以执行结果是这样:
然后开始一步一步分析处理问题:
1.确定需要替换函数堆栈平衡
首先IDA看下两个导出函数的调用堆栈,也就是看下参数是否一样,不然直接调换位置会导致函数调用之后堆栈不平衡:
可以确定,这两个函数的调用堆栈相同,可以直接替换。
2.从PE头开始,一步一步找到导出函数地址数组(AddressOfFunctions)
可以知道导出表的地址和大小,这个地址是RVA,根据这个RVA可以计算出来FOA。RVA-FOA之间的转换我写过总结,还写了个工具当时。需要的可以翻翻我上传的东西。这里不细说直接计算:
这样0xCF30的位置应该是存的导出表相关。找到这个位置:
黑色部分是对应的如下这个结构:
红色框部分就是倒数第三个,导出函数地址RVA,继续计算FOA
然后找到FOA 0xCF58处的一个DWORD数组,这个存的是导出函数地址,RVA。
最后把这两个地址进行交换就行了。然后运行测试exe,实现错误密码登录成功,当然这只是个演示程序,如果是实现功能的话,还可以直接OD加载进来,跑一下,在IF的地方把汇编代码的比较函数改了就行了。这个在WindowsPE的第一节我就写过操作流程,这里不细说了。
最后就是我写完这些分析的时候发现有点SB了,咱们来看下这个:
其实可以直接根据那个提供的地址,得到下面的两个地址,没看错的话,应该是一个是VA,一个是RVA,基址是10000000。稍等我去查下:
woc基址还真是这个。这样的话直接全局搜索这个地址然后替换就行了啊。额...不过没事。毕竟是为了学习吗。无所谓了。为了方便一些不太了解导出表的小伙伴,我最后在传一个导出表的结构吧。如果看不懂了可以看下这个结构理解下: