Можно ли вызвать win32 call в windbg? - PullRequest
Новая
       15

Можно ли вызвать win32 call в windbg?

1 голос
/ 18 мая 2019

Я пытаюсь вызвать win32 api с помощью windbg, 

> .call kernel32!ExitProcess(0)
                              ^ Symbol not a function in '.call kernel32!ExitProcess(0)'

windbg должен это поддерживать, любая идея?

1 Ответ

3 голосов
/ 18 мая 2019

Одной из причин может быть то, что отладчик не может найти метод: 

0:004> x kernel32!Exit*
00007ffc`12e9b0c0 KERNEL32!ExitVDM (<no parameter info>)
00007ffc`12e7d620 KERNEL32!ExitProcessImplementation (<no parameter info>)

У вас определенно нет личных символов для kernel32!ExitProcess(). Если у вас нет личных символов, то вам нужно иметь функцию в своем собственном коде (для которой у вас есть частные символы), которую вы можете передать в качестве прототипа: 

.call /s SameSignatureAsExitProcess kernel32!ExitProcess(0)

Итак, я бы предложил: получить расширение LLD , скомпилировать себе несколько методов, таких как

Заголовочный файл: 

#pragma once
#include <Windows.h>
class Call
{
public:
    static void v();
    static void vi(int);
    static void vui(unsigned int);
    static void vl(long);
    static void vul(unsigned long);
};

Cpp файл: 

#include "Call.h"

void Call::v(){}
void Call::vi(int) {}
void Call::vui(unsigned int) {}
void Call::vl(long) {}
void Call::vul(unsigned long) {}

и затем используйте его 

0:000> .load ...\lld
0:000> !injectdll ...\Calls\x64\Debug\Calls.dll
ModLoad: 00007ffc`11270000 00007ffc`1129e000   C:\Windows\System32\IMM32.DLL
ModLoad: 00007ffc`070a0000 00007ffc`070c5000   ...\Calls\x64\Debug\Calls.dll
ModLoad: 00007ffb`f9000000 00007ffb`f91c2000   C:\Windows\System32\ucrtbased.dll
ModLoad: 00007ffc`07070000 00007ffc`07092000   C:\Windows\System32\VCRUNTIME140D.dll
ModLoad: 00007ffc`0d800000 00007ffc`0d89c000   C:\Windows\system32\uxtheme.dll
ntdll!NtTerminateThread+0x14:
00007ffc`138f01c4 c3              ret

0:004> ld Calls
*** WARNING: Unable to verify checksum for ...\Calls\x64\Debug\Calls.dll
Symbols loaded for Calls

0:004> x Calls!Call::*
00007ffc`070b1710 Calls!Call::vui (unsigned int)
00007ffc`070b1760 Calls!Call::vul (unsigned long)
00007ffc`070b1670 Calls!Call::vi (int)
00007ffc`070b1620 Calls!Call::v (void)
00007ffc`070b16c0 Calls!Call::vl (long)

0:004> .call /s Calls!Call::v kernelbase!TerminateProcess()
Thread is set up for call, 'g' will execute.
WARNING: This can have serious side-effects,
including deadlocks and corruption of the debuggee.

Хотя это выглядит намного лучше (без сообщения об ошибке), оно все равно не работает - процесс не прекращается. В настоящее время я не могу понять, почему. Может быть, это все еще полезно для кого-то.

Что работает для меня это 

static void t(); // .h
void Call::t() // .cpp
{
    ExitProcess(0);
}

, а затем 

0:007> .call Calls!Call::t()
Thread is set up for call, 'g' will execute.
WARNING: This can have serious side-effects,
including deadlocks and corruption of the debuggee.
0:007> p
Calls!Call::t+0x2a:
00007ffc`0709166a 33c9            xor     ecx,ecx
0:007> p
ntdll!NtTerminateProcess+0x14:
00007ffc`138efce4 c3              ret

но это не очень удобно, если вы заранее не знаете, какой метод хотите вызвать.

...