我现在在用灰色帽子Python书。它描述了如何在python中创建调试器。到目前为止,我的调试器能够启动进程并附加到它。当我试图从进程中检索模块句柄时,会出现问题。根据OllyDbg,DLL存在于程序中,但是GetModuleHandleA
无法获得句柄。我对书中的一段代码做了一点改进,以防GetModuleHandleA
检索不到句柄,函数将尝试创建一个远程线程并强制将此模块加载到进程中。但即使如此,它GetModuleHandleA
还是失败了(而其他一切都很好)。所以也许有人可以快速浏览一下代码并发现其中的问题?在
def func_resolve(self,dll,function):
handle = kernel32.GetModuleHandleA(dll)
print "%s module handle is at 0x%08x" % (dll, handle)
error = kernel32.GetLastError()
if error:
print "There was an error in func_resolve::GetModuleHandleA(%s): %d" % (dll, error)
print "Loading library into the process"
pLibRemote = kernel32.VirtualAllocEx(self.h_process, 0, len(dll), 0x00001000, 0x04)
print "Allocated %d bytes of memory at 0x%08x" % (len(dll), pLibRemote)
written = c_int(0)
kernel32.WriteProcessMemory(self.h_process, pLibRemote, dll, len(dll), byref(written))
print "Written %d bytes" % written.value
handle = kernel32.GetModuleHandleA("kernel32.dll")
print "Kernel module handle is 0x%08x" % handle
address = kernel32.GetProcAddress(handle, "LoadLibraryA")
print "LoadLibraryA address is 0x%08x" % address
thread_id = c_ulong(0)
kernel32.CreateRemoteThread(self.h_process, None, 0, address, pLibRemote, 0, byref(thread_id))
print "Created thread %d" % thread_id.value
handle = kernel32.GetModuleHandleA(dll)
address = kernel32.GetProcAddress(handle, function)
kernel32.CloseHandle(handle)
return address
输出如下:
^{pr2}$如果使用了模块句柄,则可以很好地检索它python.exe(在python.exe过程)。但不在python.exe进程失败。也许这和操作系统Windows7(64位)有关,但我测试的应用程序还是用32位编译器编译的。在
更新2:根据评论中的建议,我编写了自己的函数:
def my_func_resolve(self, dll, function):
module32 = MODULEENTRY32()
CreateToolhelp32Snapshot = kernel32.CreateToolhelp32Snapshot
CreateToolhelp32Snapshot.restype = HANDLE
CreateToolhelp32Snapshot.argtypes = [DWORD, DWORD]
Module32First = kernel32.Module32First
Module32First.restype = BOOL
Module32First.argtypes = [HANDLE, POINTER(MODULEENTRY32)]
Module32Next = kernel32.Module32Next
Module32Next.restype = BOOL
Module32Next.argtypes = [HANDLE, POINTER(MODULEENTRY32)]
thandle = 24
while thandle == 24:
thandle = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, self.pid)
if thandle == 0 or thandle == 0xFFFFFFFF:
print "Failed to create a snapshot. Error: %d" % kernel32.GetLastError()
exit()
if not Module32First(thandle, byref(module32)):
print "Module32First failed. Error: %d" % kernel32.GetLastError()
kernel32.CloseHandle(thandle)
exit()
while module32:
print "DLL %s is loaded at 0x%08x" % (module32.szModule, module32.modBaseAddr)
Module32Next(thandle, byref(module32))
kernel32.CloseHandle(thandle)
return True
但它失败了
[*] We have successfully launched the process!
[*] The Process ID I have is: 9584
Proces handle is 228
Failed create snapshot. Error: 299
如果我们试图从32位进程中检索64位进程,则会发生此错误。我有32位python。我的操作系统是64位的。我编译的测试程序.exe使用mingw 32位编译器。我怎么会得到这个错误?
对于TH32CS_SNAPMODULE
,我同时使用了0x00000008
和{
以防万一,流程是这样创建的:
if kernel32.CreateProcessA(path_to_exe,
None,
None,
None,
None,
creation_flags,
None,
None,
byref(startupinfo),
byref(process_information)):
print "[*] We have successfully launched the process!"
print "[*] The Process ID I have is: %d" % \
process_information.dwProcessId
self.pid = process_information.dwProcessId
self.h_process = self.open_process(process_information.dwProcessId)
print "Proces handle is %d" % self.h_process
{{126}根据文档^ 1,错误是^ 1。您可能需要检查DLL Search Path,以确保DLL安装在正确的位置。虽然opengl32.dll很常见,所以我希望它是可用的。在
另一种可能是您的代码正在调用
GetModuleHandleA
(Windows代码页或函数的“ANSI”版本),但传递的是宽字符Unicode字符串。GetModuleHandleA
将无法正确解释Unicode字符串,因此它将搜索错误的模块。如果是这样的话,那么解决方法是更改代码以调用GetModuleHandleW
。python3尤其使用Unicode作为字符串,因此如果您使用python3运行,那么这很可能是相关的。在Unicode in the Windows API文档对函数的
A
与W
命名约定以及能够处理Windows代码页的函数和能够处理Unicode的函数之间的区别进行了更多的讨论。在前面这个问题看起来很相似。在
Call to GetModuleHandle on kernel32 using Python C-types
GetModuleHandle
在当前进程中查找模块。要在另一个进程中查找模块,您需要使用PSAPI函数EnumProcessModulesEx
&;GetModuleBaseName
或工具帮助函数CreateToolhelp32Snapshot
,Module32First
,Module32Next
。在如果目标进程具有与当前进程相同的体系结构,则可以在其加载的DLL中间接查找过程地址。首先,通过
LoadLibraryEx
和DONT_RESOLVE_DLL_REFERENCES
在当前进程中加载DLL。然后用这个本地的HMODULE
调用GetProcAddress
来获得本地地址。最后,在目标进程中调整相对于模块基址的本地地址。记住调用FreeLibrary
从当前进程卸载DLL。在注意,}。这可以防止将64位指针值截断为32位C
HMODULE
句柄实际上是指针,因此您需要为所有ctypes函数设置restype
和{int
值。在下面是一个使用工具帮助函数的示例。在
下面是一个测试,它创建另一个Python进程,并验证kernel32.dll是否加载到与当前进程相同的地址;
LoadLibraryExW
是否在同一地址解析;前1000个字节是否相等。在请注意,我使用Windows事件对象等待子进程完成加载,然后再尝试读取其模块表。这避免了} 。在
^{pr2}$ERROR_PARTIAL_COPY
的问题。如果目标是具有消息队列的GUI进程,则可以改为使用^{相关问题 更多 >
编程相关推荐