WoW64 架構閱讀心得

-

參考文獻

心得


  1. 傳統上 x86 所有系統模組實作都是 ntdll.dll 的函數封裝，最後都會回到 ntdll.dll 的 ZW 函數以 kikifastcall 發送出去就切 Kernel Mode 中斷了。
  2. 不過當 WoW64 架構下，需要把 32 位元程式跑在 64 位元架構的 Process 裡，那麼 32 位元的函數資料丟 64 位元在查 SSDT（其實我不是很清楚 64 位元還有沒有 SSDT）就會因為數字存放的基本資料結構 size 不同導致函數呼叫整個爛掉，因此無法直接把 32 位元程式就直接丟在 64 Process 跑（即使 Thread 可以，但架構上 r0 進去會爛掉）
  3. 3. 所以在 Win7 架構下會在 TIB 的 fs:[0xc0] 用 uint32_t 欄位（WOW32Reserved）保存了一個 WoW32CPU.dll（32bit） 的函數地址 -- X86SwitchTo64BitMode，也就是 32 位元程式 kikifastcall 原本應該送什麼中斷請求出去，這邊改為用 call dword ptr fs:[0xc0] 就可以直接呼叫到 X86SwitchTo64BitMode API，這個 API 內部實作再幫你把 32 位元的中斷請求參數轉換為 64 位元送給 r0，然後再返還。（這也清楚解釋了為什麼 Win7 64bit 需要把 64 位元的
  4. ntdll.dll 模組放在 4G 以下，不然這個 TIB 欄位保存不了XD）
  5. 4. 很多設計很爛的 AntiVirus（AV）甚至是早期版本的微軟防漏洞架構 EMET
  6. 的函數監測攔截都是放在 userland、然後 r0 的 hook 強制在每隻 Process 創建時把監測用的 dll 注入到 Process 內做檢測：WoW64 Process 就注入 32 位元的監測 dll 到記憶體裡、64 位元 Process 就把 64 位元監測 dll 注入到記憶體。
  7. 5. 所以 WoW64 架構怎麼被濫用？我故意設計一個 x86 PE 跑在 WoW64 架構下，但是 AV 所有監測都放在 userland 的 4G 底下，因此 32 位元 Process 跑在 WoW64 下只要故意去抓自己的 fs:[0xc0] 呼叫 X86SwitchTo64BitMode， 所有函數請求從 64 位元 ntdll.dll 送出，就可以躲過所有 32bit userland hook
  8. 6. 有鑒於這種混合 64/32 程式碼在 PE32 搞爛 WoW64 架構繞過 userland AV 的手法，微軟爸爸做法在 Win8+ 系統後把 64bit ntdll.dll 擺到 4G 之上，不過 X86SwitchTo64BitMode 仍然必須呼叫，那怎麼辦？那就讓 32bit ntdll.dll 內增加一個 Wow64SystemServiceCall，kikifastcall 呼叫了先跳到 ntdll32!Wow64SystemServiceCall，而這個 API 內部實作先檢查 TIB32 檢查當前執行程式是否真的是 32 位元程式，如果是才進一步把 32 位元請求發送至 ntdll64.dll 的 X86SwitchTo64BitMode（採用二段跳+偏移定址方式跳過去XD）並且 fs:[0xc0] 也沒有 API 惹，要就直接 call Wow64SystemServiceCall）並且這種濫用手法要拿來 bypass 常見的 sandbox 變得相當困難，因為 ntdll64 開始順序會亂飄，你沒辦法在「沒辦法取得記憶體實際內容」情形下穩定地抓取函數 API 跟辨識哪個是你要的
  9. 7. 這種混合 32/64 Payload 作法，試圖將 64 Payload 在 WoW64 內運行時，因為這支 Process 是開給 32 位元的程式，所以 PE Loader 只會給當前 Process 加載 ntdll32、ntdll64、還有其他該 32 位元程式所需要的其他 32 函數模組（Kernel32、user32、etc）因此 64 Payload 只能直接呼叫 ntdll64.dll 的 API，沒有 KernelBase 64bit 或者 Kernel32 64mode 之類好用的封裝模組給你用

留言

張貼留言

這個網誌中的熱門文章

DNS網址被劫持查詢不到正確IP怎辦

-
圖片
 有時候會遇到你家小烏龜或 hinet 域名連不上正確網站，有可能會怪怪的對吧？（看片網站連不上）大家可以這麼做，在 Windows 搜尋控制台，然後一路點選 [網路和網際網路] > [檢視網路狀態及工作] > [變更介面卡設定] 接著，看你電腦是插實體線連網、還是 WiFi介面卡，像我是用 WiFi 那就對 WiFi 介面卡點選右鍵內容。 然後找到網際網路通訊協定第4版 Internet Protocol Version 4 (TCP/IPv4) 按內容，並且設定慣用 DNS 伺服器為 1.1.1.1 跟 8.8.8.8 接著，你就會發現你的網站可以看了唷，不會被奇怪小烏龜DNS路由指到奇怪網頁了。
閱讀完整內容

[Windows] 逆向工程 C++ 中入口函數參數 main(argc, argv) 與如何正確的進行參數劫持

-
圖片
前言 我在 Github 上三年前開源了精簡的以 C/C++ 撰寫的 Windows 執行程式裝載器： aaaddress1/RunPE-In-Memory  用以從記憶體執行以 C/C++ 開發的 *.exe 程式不必以 CreateProcess() 來叫起，算是一種概念性 PoC 啦畢竟這種手段在惡意程式和殼上經常使用，所以寫一寫就丟出來給大家玩 XD 不過有人在我的專案發起了 Issue：既然能從記憶體中執行 *.exe 那能否偽造 *.exe 取得的參數呢？嗯好問題XD 正逢去年蠻忙的所以一直懶得弄，這個月比較閒於是就決定在專案中新增 參數偽造 的功能，這邊簡單提一下 C++ 中 main() 入口所收的 argc 與 argv 來的。 [附註] 以下逆向工程內容以 MinGW 生產的程式為例， 系統逆向工程為 Win10 企業版 1809版  CRTStartup 在 Windows 下通常取得參數通常分為兩種狀況：  WINAPI GetCommandLineW() 系統函數返回字串指針指向當前完整應用程式參數 從 main(argc, argv) 拿回來的參數，那麼第二種狀況在編譯器是怎麼吐參數給開發者 main 入口的呢？ 在編譯器吐出執行程式後，連結器會生產一段 CRTStartup 的函數用於做一些基礎的例如像是 Security Cookies、Control Flow Guard 保護的初始化，在一系列初始化之後 .data 段的全域變數 _argv、argc 紀錄著要傳入給開發者入口函數的 參數陣列 與 數量，就以參數形式呼叫 main() 函數 好問題，那這兩個全域變數是在哪裡被初始化的？ 你會發現以 MinGW 為例的話，會去呼叫 msvcrt!__getmainargs() 來取得參數資訊保存到 .data 全域變數上，後續再傳遞給 main() 函數；如果是 VC++ 吐出來的則是直接呼叫 GetCommandLineW() 在做文字切割取出參數 MSVCRT MSVCRT.dll 有導出一系列 C 函數是引用 #include <stdio.h> 時會用到的，例如 printf, sprintf, gets 等等。...
閱讀完整內容

[C#] Lambda花式應用噁爛寫法（跨UI委派秒幹、多線程處理...etc）

-
為啥會有這篇呢...因為最近寫太多C# 突然發現Lambda對程式碼減化太有幫助了=...= 為了怕哪天老人癡呆忘了這些噁心的花式寫法，就開一篇Blog文紀錄了 以前在寫多線程,可能得這麼寫： void Func() {/*多線程要做的事情*/} //接著呼叫： Thread nThread = new Thread(Func); nThread.Start(); 但今天用Lambda可以改寫： Thread nThread = new Thread(() => {/*多線程要做的事情*/}); nThread.Start(); 甚至在噁心點寫的寫法： new Thread(() => {/*多線程要做的事情*/}).Start(); 簡單來說Lambda的形式可拆解成： ()是指你的函數參數列、然後可用=>代表你要接的Lambda陳述句/塊，最後用{}把事情包起來。 在來就是比較討厭的C#內要做跨UI線程操控UI上物件，會有跨UI安全性線程問題， 所以一般會額外寫個委派函數，然後請求UI Thread去處理這個委派函數請求，才能控制 這樣往往可能只用一兩次的委派函數，卻要占用一個篇幅去寫委派函數 先看看正常的跨UI委派寫法： private delegate void nCallback(string ContentText); public void n(string ContentText) { if (this.InvokeRequired) { nCallback obj = new nCallback(n); this.Invoke(obj, new object[] { ContentText }); return; } this.Text = ContentText; } //調用時呼叫n("str") 就可以改寫成： this.Invoke(new Action(() => { this.Text = "Str"; })); 又因為=>後面可接陳述塊或者陳述句，所...
閱讀完整內容