天天看點

如何提取 x64 程式那些易失的方法參數

作者:一線碼農聊技術

一:背景

1. 講故事

最近經常遇到有朋友回報,在 x64 環境下如何提取線程棧中的方法參數,熟悉 x64 調用協定的朋友應該知道,這種協定範圍下,方法的前四個參數都是用寄存器傳遞的,比如rcx,rdx,r8d,r9d 四個寄存器,由于寄存器存值的臨時性,它的值容易被後面的邏輯給征用了,那這種情況下還有沒有辦法提取出來呢? 說實話,全靠運氣,為什麼這麼說呢? 如果這個在方法的棧初始化過程中有臨時的儲存線上程棧中的話,那恭喜你,可以成功給撈出來。

接下來通過一個小案例來深入的聊一下。

二:案例分析

1. 一個案例示範

為了友善講述,這裡我用 Marshal 在 ntheap 上配置設定堆塊,然後提取 Marshal.FreeHGlobal 方法的使用者句柄,參考代碼如下:

static void Main(string[] args)
        {
            //1. 配置設定 堆塊
            IntPtr ptr = Marshal.AllocHGlobal(sizeof(int));
            Console.WriteLine("ptr= 0x{0:X2}", ptr);

            //2. 寫入資料
            var num = int.MaxValue;
            Marshal.WriteInt32(ptr, num);
            Console.WriteLine("num 已寫入 ptr= 0x{0:X2} 堆塊", ptr);
            Debugger.Break();

            //3. 釋放 堆塊
            Marshal.FreeHGlobal(ptr);
            Console.WriteLine("ptr= 0x{0:X2} 堆塊成功釋放", ptr);
        }

           
如何提取 x64 程式那些易失的方法參數

熟悉 ntheap 的朋友都知道,如果在調試的環境下使用 FreeHGlobal 方法會命中底層的 ntdll!RtlpValidateHeap 方法,隻要在這地方下個斷點即可,參考代碼如下:

0:000> bp ntdll!RtlpValidateHeap
0:000> g
Breakpoint 0 hit
ntdll!RtlpValidateHeap:
00007ffe`8e92a784 48895c2410      mov     qword ptr [rsp+10h],rbx ss:00000021`2037e078=00007ffd00000000
0:000> k 10
 # Child-SP          RetAddr               Call Site
00 00000021`2037e068 00007ffe`8e9295f5     ntdll!RtlpValidateHeap
01 00000021`2037e070 00007ffe`8e855cc1     ntdll!RtlDebugFreeHeap+0x99
02 00000021`2037e0d0 00007ffe`8e855b74     ntdll!RtlpFreeHeap+0xc1
03 00000021`2037e280 00007ffe`8e8547b1     ntdll!RtlpFreeHeapInternal+0x464
04 00000021`2037e340 00007ffe`8c33934f     ntdll!RtlFreeHeap+0x51
05 00000021`2037e380 00007ffd`d4af5c7c     KERNELBASE!LocalFree+0x2f
06 00000021`2037e3c0 00007ffd`7b132a10     System_Private_CoreLib!System.Runtime.InteropServices.Marshal.FreeHGlobal+0x4c [/_/src/libraries/System.Private.CoreLib/src/System/Runtime/InteropServices/Marshal.Windows.cs @ 144] 
07 00000021`2037e490 00007ffd`dacaae93     Example_18_1_1!Example_18_1_1.Program.Main+0xd0 [D:\skyfly\18.20230322\src\Example\Example_18_1_1\Program.cs @ 21] 
...

           

從代碼中可以看到當釋放堆塊時果然調用了這個函數,接下來有一個需求,我想知道 KERNELBASE!LocalFree 第一個參數到底是什麼,有朋友肯定想說,你可以取 rcx 寄存器呀,但不要忘了,此時代碼都跑到 ntdll!RtlpValidateHeap 方法了, rcx 中的值早就被其他方法給覆寫了,那怎麼辦呢?

2. 還有希望嗎

有沒有希望真的看運氣了,這時候要詳細觀察 KERNELBASE!LocalFree 方法入口處的彙編代碼,看下它有沒有将 rcx 儲存在棧中,如果真的有儲存到棧中,那就萬幸了,有了思路之後說幹就幹。

0:000> u KERNELBASE!LocalFree
KERNELBASE!LocalFree:
00007ffe`8c339320 48895c2410      mov     qword ptr [rsp+10h],rbx
00007ffe`8c339325 4889742418      mov     qword ptr [rsp+18h],rsi
00007ffe`8c33932a 48894c2408      mov     qword ptr [rsp+8],rcx
00007ffe`8c33932f 57              push    rdi
00007ffe`8c339330 4883ec30        sub     rsp,30h
00007ffe`8c339334 488bd9          mov     rbx,rcx
00007ffe`8c339337 f6c308          test    bl,8
00007ffe`8c33933a 753f            jne     KERNELBASE!LocalFree+0x5b (00007ffe`8c33937b)

           

從彙編代碼看真的很萬幸,代碼将 rcx 儲存到了 rsp+8 的棧位置,接下來急需要知道這裡的 rsp+8 指的是哪一塊記憶體位址?

3. rsp+8 到底指向哪裡

在 x64 平台下,為了最大化的利用寄存器,方法棧幀使用一個 rsp 來标記棧空間,而不像 32bit 平台用 ebp 和 esp 兩個寄存器來聯合承載,參考 k 指令輸出。

0:000> k 8
 # Child-SP          RetAddr               Call Site
00 00000021`2037e068 00007ffe`8e9295f5     ntdll!RtlpValidateHeap
01 00000021`2037e070 00007ffe`8e855cc1     ntdll!RtlDebugFreeHeap+0x99
02 00000021`2037e0d0 00007ffe`8e855b74     ntdll!RtlpFreeHeap+0xc1
03 00000021`2037e280 00007ffe`8e8547b1     ntdll!RtlpFreeHeapInternal+0x464
04 00000021`2037e340 00007ffe`8c33934f     ntdll!RtlFreeHeap+0x51
05 00000021`2037e380 00007ffd`d4af5c7c     KERNELBASE!LocalFree+0x2f
06 00000021`2037e3c0 00007ffd`7b132a10     System_Private_CoreLib!System.Runtime.InteropServices.Marshal.FreeHGlobal+0x4c [/_/src/libraries/System.Private.CoreLib/src/System/Runtime/InteropServices/Marshal.Windows.cs @ 144] 
07 00000021`2037e490 00007ffd`dacaae93     Example_18_1_1!Example_18_1_1.Program.Main+0xd0 [D:\skyfly\18.20230322\src\Example\Example_18_1_1\Program.cs @ 21] 

           

接下來的問題是: Child-SP 和 KERNELBASE!LocalFree 方法中的 rsp 到底是什麼關系? 要回答這個問題,需要非常清楚 Child-SP 是如何标記棧幀的,畫個圖如下:

如何提取 x64 程式那些易失的方法參數

從圖中可以清晰的看到:Child-SP 标記的是子方法中第一個參數的位置,而方法入口處的 RSP 指向的是該方法的傳回位址 RIP 的位置,比 Child-SP 小一個指針單元。

有朋友可能要問為什麼是 RIP 的位置,這是因為彙編的 call 指令會隐式的如下執行。

PUSH RIP
SUB ESP,8

           

有了這些基礎之後,接下來就好辦了,計算公式為:

rsp = Child-SP - 0x8

那麼 rsp + 0x8 = Child-SP - 0x8 + 0x8 = Child-SP = 000000212037e3c0,接下來用 windbg 來驗證下。

0:000> dp 000000212037e3c0 L1
00000021`2037e3c0  00000141`a81f1f20
0:000> !heap -x 00000141`a81f1f20
Entry             User              Heap              Segment               Size  PrevSize  Unused    Flags
-------------------------------------------------------------------------------------------------------------
00000141a81f1f10  00000141a81f1f20  00000141a8100000  00000141a8100000        40        90        3c  busy extra fill 

           

大家再回頭看下 Console 界面的輸出,果然就是我苦苦尋求的 ptr= 0x141A81F1F20 位址。

三:總結

這是一篇非常有用的經驗分享帖,相信你在dump分析中肯定會用的上,總的來說,由于方法參數是通過寄存器傳遞的,能不能成功撈取需要你仔細觀察彙編代碼才能知道。

世間美好,相信的人都能得到。

繼續閱讀