USER32!__ClientLoadLibrary定位

电玩女神 2022-08-07 04:35 151阅读 0赞

保护软件一般都直接用新的函数指针替换CallBack表中\_\_ClientLoadLibrary对应的位置

对于Ring3的应用程序，fs:\[0\]的地址指向的是TEB结构，这个结构的开头是一个NT\_TIB结构，NT\_TIB结构的0x18偏移处是一个Self指针，指向这个结构自身，也就是指向TEB结构的开头。  
TEB结构的0x30偏移是一个指向PEB的指针。PEB又是一个结构，这个结构的0x2偏移处是一个UChar，名叫BeingDebugged，当进程被调试时，此值为1，未被调试时此值为0  
  
因此以下代码逐行执行后的结果：  
mov eax,dword ptr fs:\[18h\];eax=TEB的指针  
mov eax,dword ptr \[eax+30h\];eax＝PEB的指针  
movzx eax,byte ptr \[eax+2h\];eax=PEB.BeingDebugged（byte扩展为dword）  
  
TEB和PEB结构的详细内容可以在windbg内核调试状态下使用dt \_TEB、dt \_PEB命令来察看。

**\[cpp\]** [view plain][] [copy][view plain]

1.  0:000> x user32!\*\_\_ClientLoadLibr\* 
2.  77d28023 USER32!\_\_ClientLoadLibrary = <no type information>

可以看出TEB结构的0x30偏移是一个指向PEB的指针

**\[cpp\]** [view plain][] [copy][view plain]

1.  0:001> dt \_TEB @$teb 
2.  testDemo!\_TEB 
3.   \+0x000 NtTib : \_NT\_TIB 
4.   \+0x01c EnvironmentPointer : (null) 
5.   \+0x020 ClientId : \_CLIENT\_ID 
6.   \+0x028 ActiveRpcHandle : (null) 
7.   \+0x02c ThreadLocalStoragePointer : (null) 
8.   \+0x030 ProcessEnvironmentBlock : 0x7ffdd000 \_PEB

而KernelCallbackTable表在PEB的ox2c处:

**\[cpp\]** [view plain][] [copy][view plain]

1.  0:001> dt \_PEB @$peb 
2.  testDemo!\_PEB 
3.   \+0x000 InheritedAddressSpace : 0 ''
4.   \+0x001 ReadImageFileExecOptions : 0 ''
5.   \+0x002 BeingDebugged : 0x1 ''
6.   \+0x003 SpareBool : 0 ''
7.   \+0x004 Mutant : 0xffffffff 
8.   \+0x008 ImageBaseAddress : 0x00400000 
9.   \+0x00c Ldr : 0x00251ea0 \_PEB\_LDR\_DATA 
10.  \+0x010 ProcessParameters : 0x00020000 \_RTL\_USER\_PROCESS\_PARAMETERS 
11.  \+0x014 SubSystemData : (null) 
12.  \+0x018 ProcessHeap : 0x00150000 
13.  \+0x01c FastPebLock : 0x7c99d600 \_RTL\_CRITICAL\_SECTION 
14.  \+0x020 SparePtr1 : 0x7c921000 
15.  \+0x024 SparePtr2 : 0x7c9210e0 
16.  \+0x028 EnvironmentUpdateCount : 1 
17.  \+0x02c KernelCallbackTable : 0x77d12970

不同版本的window系统KernelCallbackTable函数列表位置不同：以下是XPSP3的：

**\[cpp\]** [view plain][] [copy][view plain]

1.  0:001> r @$peb 
2.  $peb=7ffdd000 
3.  0:001> dds 0x77d12970 
4.  77d12970 77d27f3c USER32!\_\_fnCOPYDATA 
5.  77d12974 77d587b3 USER32!\_\_fnCOPYGLOBALDATA 
6.  77d12978 77d28ec8 USER32!\_\_fnDWORD 
7.  77d1297c 77d2b149 USER32!\_\_fnNCDESTROY 
8.  77d12980 77d5876c USER32!\_\_fnDWORDOPTINLPMSG 
9.  77d12984 77d5896d USER32!\_\_fnINOUTDRAG 
10. 77d12988 77d3b84d USER32!\_\_fnGETTEXTLENGTHS 
11. 77d1298c 77d58c42 USER32!\_\_fnINCNTOUTSTRING 
12. 77d12990 77d285c1 USER32!\_\_fnINCNTOUTSTRINGNULL 
13. 77d12994 77d58b0f USER32!\_\_fnINLPCOMPAREITEMSTRUCT 
14. 77d12998 77d2ce26 USER32!\_\_fnINLPCREATESTRUCT 
15. 77d1299c 77d58b4d USER32!\_\_fnINLPDELETEITEMSTRUCT 
16. 77d129a0 77d4feec USER32!\_\_fnINLPDRAWITEMSTRUCT 
17. 77d129a4 77d58b8b USER32!\_\_fnINLPHELPINFOSTRUCT 
18. 77d129a8 77d58b8b USER32!\_\_fnINLPHELPINFOSTRUCT 
19. 77d129ac 77d589ad USER32!\_\_fnINLPMDICREATESTRUCT 
20. 77d129b0 77d4f65c USER32!\_\_fnINOUTLPMEASUREITEMSTRUCT 
21. 77d129b4 77d2be16 USER32!\_\_fnINLPWINDOWPOS 
22. 77d129b8 77d2d063 USER32!\_\_fnINOUTLPPOINT5 
23. 77d129bc 77d2bd0d USER32!\_\_fnINOUTLPSCROLLINFO 
24. 77d129c0 77d3e285 USER32!\_\_fnINOUTLPRECT 
25. 77d129c4 77d2bf4c USER32!\_\_fnINOUTNCCALCSIZE 
26. 77d129c8 77d2bd0d USER32!\_\_fnINOUTLPSCROLLINFO 
27. 77d129cc 77d589ff USER32!\_\_fnINPAINTCLIPBRD 
28. 77d129d0 77d58a66 USER32!\_\_fnINSIZECLIPBRD 
29. 77d129d4 77d30d41 USER32!\_\_fnINDESTROYCLIPBRD 
30. 77d129d8 77d2aca1 USER32!\_\_fnINSTRINGNULL 
31. 77d129dc 77d2aca1 USER32!\_\_fnINSTRINGNULL 
32. 77d129e0 77d1e68c USER32!\_\_fnINDEVICECHANGE 
33. 77d129e4 77d58cd7 USER32!\_\_fnINOUTNEXTMENU 
34. 77d129e8 77d593f5 USER32!\_\_fnLOGONNOTIFY 
35. 77d129ec 77d58728 USER32!\_\_fnOUTDWORDDWORD 
36. 0:001> dds 77d129ec 
37. 77d129ec 77d58728 USER32!\_\_fnOUTDWORDDWORD 
38. 77d129f0 77d58728 USER32!\_\_fnOUTDWORDDWORD 
39. 77d129f4 77d586e5 USER32!\_\_fnOUTDWORDINDWORD 
40. 77d129f8 77d58acc USER32!\_\_fnOUTLPRECT 
41. 77d129fc 77d285c1 USER32!\_\_fnINCNTOUTSTRINGNULL 
42. 77d12a00 77d58b8b USER32!\_\_fnINLPHELPINFOSTRUCT 
43. 77d12a04 77d285c1 USER32!\_\_fnINCNTOUTSTRINGNULL 
44. 77d12a08 77d5882b USER32!\_\_fnSENTDDEMSG 
45. 77d12a0c 77d2c2f5 USER32!\_\_fnINOUTSTYLECHANGE 
46. 77d12a10 77d30214 USER32!\_\_fnHkINDWORD 
47. 77d12a14 77d4f92a USER32!\_\_fnHkINLPCBTACTIVATESTRUCT 
48. 77d12a18 77d4f86c USER32!\_\_fnHkINLPCBTCREATESTRUCT 
49. 77d12a1c 77d58dce USER32!\_\_fnHkINLPDEBUGHOOKSTRUCT 
50. 77d12a20 77d316a3 USER32!\_\_fnHkINLPMOUSEHOOKSTRUCTEX 
51. 77d12a24 77d58d54 USER32!\_\_fnHkINLPKBDLLHOOKSTRUCT 
52. 77d12a28 77d58d91 USER32!\_\_fnHkINLPMSLLHOOKSTRUCT 
53. 77d12a2c 77d278ab USER32!\_\_fnHkINLPMSG 
54. 77d12a30 77d58d17 USER32!\_\_fnHkINLPRECT 
55. 77d12a34 77d4f065 USER32!\_\_fnHkOPTINLPEVENTMSG 
56. 77d12a38 77d58eb9 USER32!\_\_ClientCopyDDEIn1 
57. 77d12a3c 77d58efb USER32!\_\_ClientCopyDDEIn2 
58. 77d12a40 77d58f5e USER32!\_\_ClientCopyDDEOut1 
59. 77d12a44 77d58f2d USER32!\_\_ClientCopyDDEOut2 
60. 77d12a48 77d2eb09 USER32!\_\_ClientCopyImage 
61. 77d12a4c 77d58f92 USER32!\_\_ClientEventCallback 
62. 77d12a50 77d319f6 USER32!\_\_ClientFindMnemChar 
63. 77d12a54 77d228f3 USER32!\_\_ClientFontSweep 
64. 77d12a58 77d58e4c USER32!\_\_ClientFreeDDEHandle 
65. 77d12a5c 77d282ff USER32!\_\_ClientFreeLibrary 
66. 77d12a60 77d1f4b2 USER32!\_\_ClientGetCharsetInfo 
67. 77d12a64 77d58e83 USER32!\_\_ClientGetDDEFlags 
68. 77d12a68 77d58fdc USER32!\_\_ClientGetDDEHookData 
69. 0:001> dds 77d12a68 
70. 77d12a68 77d58fdc USER32!\_\_ClientGetDDEHookData 
71. 77d12a6c 77d4f9f5 USER32!\_\_ClientGetListboxString 
72. 77d12a70 77d1ec46 USER32!\_\_ClientGetMessageMPH 
73. 77d12a74 77d216eb USER32!\_\_ClientLoadImage 
74. 77d12a78 77d28023 USER32!\_\_ClientLoadLibrary 
75. 77d12a7c 77d2ec03 USER32!\_\_ClientLoadMenu 
76. 77d12a80 77d1ee0d USER32!\_\_ClientLoadLocalT1Fonts 
77. 77d12a84 77d209e4 USER32!\_\_ClientLoadRemoteT1Fonts 
78. 77d12a88 77d5907b USER32!\_\_ClientPSMTextOut 
79. 77d12a8c 77d590d1 USER32!\_\_ClientLpkDrawTextEx 
80. 77d12a90 77d59135 USER32!\_\_ClientExtTextOutW 
81. 77d12a94 77d5919a USER32!\_\_ClientGetTextExtentPointW 
82. 77d12a98 77d59019 USER32!\_\_ClientCharToWchar 
83. 77d12a9c 77d1ed14 USER32!\_\_ClientAddFontResourceW 
84. 77d12aa0 77d1a13e USER32!\_\_ClientThreadSetup 
85. 77d12aa4 77d59253 USER32!\_\_ClientDeliverUserApc 
86. 77d12aa8 77d591f1 USER32!\_\_ClientNoMemoryPopup 
87. 77d12aac 77d2a740 USER32!\_\_ClientMonitorEnumProc 
88. 77d12ab0 77d5944a USER32!\_\_ClientCallWinEventProc 
89. 77d12ab4 77d58e15 USER32!\_\_ClientWaitMessageExMPH 
90. 77d12ab8 77d2cf8e USER32!\_\_ClientWOWGetProcModule 
91. 77d12abc 77d5948d USER32!\_\_ClientWOWTask16SchedNotify 
92. 77d12ac0 77d59266 USER32!\_\_ClientImmLoadLayout 
93. 77d12ac4 77d592c2 USER32!\_\_ClientImmProcessKey 
94. 77d12ac8 77d59302 USER32!\_\_fnIMECONTROL 
95. 77d12acc 77d58896 USER32!\_\_fnINWPARAMDBCSCHAR 
96. 77d12ad0 77d3b84d USER32!\_\_fnGETTEXTLENGTHS 
97. 77d12ad4 77d58bdc USER32!\_\_fnINLPKDRAWSWITCHWND 
98. 77d12ad8 77d21805 USER32!\_\_ClientLoadStringW 
99. 77d12adc 77d65827 USER32!\_\_ClientLoadOLE 
100. 77d12ae0 77d65704 USER32!\_\_ClientRegisterDragDrop 
101. 77d12ae4 77d65743 USER32!\_\_ClientRevokeDragDrop 
102. 0:001> dds 77d12ae4 
103. 77d12ae4 77d65743 USER32!\_\_ClientRevokeDragDrop 
104. 77d12ae8 77d593b2 USER32!\_\_fnINOUTMENUGETOBJECT 
105. 77d12aec 77d303f7 USER32!\_\_ClientPrinterThunk 
106. 77d12af0 77d594cc USER32!\_\_fnOUTLPCOMBOBOXINFO 
107. 77d12af4 77d5950c USER32!\_\_fnOUTLPSCROLLBARINFO

我们可以找到\_\_ClientLoadLibrary函数对应的位置:

**\[cpp\]** [view plain][] [copy][view plain]

1.  77d12a78 77d28023 USER32!\_\_ClientLoadLibrary

相对于KernelCallbackTable的起始位置77d12970偏移为0x108,保护软件一般是直接把这一行的77d28023换成自己的函数地址，然后判断传入参数，合法就在自己函数中跳回USER32!\_\_ClientLoadLibrary

下面有一篇[http://hi.baidu.com/\_achillis/blog/item/1f137c8000c54bd3bd3e1eec.html][http_hi.baidu.com_achillis_blog_item_1f137c8000c54bd3bd3e1eec.html]

摘了一篇文章快照：（自己加点理解）

Anti SetWindowsHookEx DLL injection made possible ![:D][D] Read on.

After spending some time reversing the user32 internals, I discovered this undocumented function. This function is responsible to load the SetWindowsHookEx() registered DLL into your process. This blog will only focus on usermode, where the actual DLL loading takes place.

**user32.\_\_ClientLoadLibrary(lpHook)**

This function takes only 1 argument, a pointer to an undocumented structure allocated in process stack. It holds the path of the DLL, pointer to notification function and some yet to be known data.

**\[cpp\]** [view plain][] [copy][view plain]

1.  **typedef****struct**
2.  \{ 
3.  **DWORD** unknow\_0; // 0x00
4.  **DWORD** unknow\_4; // 0x04
5.  **DWORD** nCount; // 0x08
6.  **DWORD** unknow\_c; // 0x0C
7.  **DWORD** offCbKPtrs; // 0x10
8.  **DWORD** bFixed; // 0x14
9.   UNICODE\_STRING lpDllPath; // 0x18
10. **DWORD** lpfnNotiy; // 0x20
11. \}USERHOOK;

At the beginning of function, it checks for \_USERHOOK.nCount and \_USERHOOK.bFixed value. Then it calls toFixupCallbackPointers.

**user32.FixupCallbackPointers(lpHook)**

It takes only 1 argument, the same argument passed to \_\_ClientLoadLibrary. This function “fix up” the pointers in a pretty interesting way. First it locate the address of callback pointers.

lpCbkPtrs = lpHook + offCbkPtrs

Then it loops through the a list of pointers and fix it up by resolving the offset to actual address.

newaddress = lpHook + offset

After fixing up all the pointers, we return to \_\_ClientLoadLibrary and then it calls to InitUserApiHook.

一般都是自己写**FixupCallbackPointers：(其实后dumpbin一看，就会发现这个函数不是导出函数，所以没法直接调用)**

[view plain]: http://blog.csdn.net/hgy413/article/details/7854029#
[http_hi.baidu.com_achillis_blog_item_1f137c8000c54bd3bd3e1eec.html]: http://hi.baidu.com/_achillis/blog/item/1f137c8000c54bd3bd3e1eec.html
[D]: /images/20220805/f7565083f5e34c99985fa405fe4eb9ee.png

发表评论取消回复

表情：

评论列表（有 0 条评论，151人围观）

还没有评论，来说两句吧...

相关阅读

相关 mysql user tables_mysql--user表

mysql数据库用例：mysql mysql>show tables;+---------------------------+ | Tables\_in\_mysql

谁借莪１个温暖的怀抱￠/ 2023年01月11日 09:23/ 0 赞/ 155 阅读

相关 CSS定位（相对定位，固定定位，绝对定位）

在CSS中，可以使用position属性来定位元素。position 属性规定元素的定位类型。属性值： absolute：生成绝对定位的元素，相对于 static

刺骨的言语ヽ痛彻心扉/ 2023年01月11日 09:15/ 0 赞/ 210 阅读

相关 nodejs利用ffi库调用windows系统user32函数模拟用户登录操作

如题所示，一般的桌面程序，用户登录很简单，就是找到用户名和密码输入框，输入相应的用户名和密码，然后点击“登录”按钮，完成登录操作。这是人为操作的步骤，如果这些动作通过程

旧城等待，/ 2022年12月20日 15:56/ 0 赞/ 144 阅读

相关 CSS定位—静态定位、相对定位、固定定位、绝对定位、粘性定位

CSS定位定位是可以让盒子自由自在的在某个盒子内移动位置或者固定屏幕中的某个位置，并且可以压住其他盒子。定位的组成定位是将盒子定位在某一位置。按照定位的方式

悠悠/ 2022年12月19日 01:18/ 0 赞/ 207 阅读

相关 C#调用WIN32 的API函数--USER32.DLL

using System; using System.Collections.Generic; using System.Linq; using Sy

╰半夏微凉°/ 2022年08月25日 09:19/ 0 赞/ 247 阅读

相关 Android 位置服务——用户定位User Location

　　哎，这几天有点偷懒，博客几天没有更新啦，自己攒了一大堆知识没有整理，今天要抓紧调整状态，恢复之前的状态哦，哦哦，不扯了，下面说今天总结的内容是基于位置服务的用户定位。

水深无声/ 2022年08月08日 17:32/ 0 赞/ 227 阅读

相关 USER32!__ClientLoadLibrary定位

保护软件一般都直接用新的函数指针替换CallBack表中\_\_ClientLoadLibrary对应的位置对于Ring3的应用程序，fs:\[0\]的地址指向的是TEB结

电玩女神/ 2022年08月07日 04:35/ 0 赞/ 152 阅读

相关 [DllImport("User32")],[DllImport("user32.dll", EntryPoint = "mouse_event")]

[C\调用API(User32.dll),mouse\_event][C_API_User32.dll_mouse_event] 注：需要u

分手后的思念是犯贱/ 2022年07月19日 00:09/ 0 赞/ 209 阅读

相关 HTML元素定位方式——相对定位、绝对定位、固定定位、浮动定位

布局排版是网页设计的基础，熟练使用各种定位写起网页来会更得心应手。静态定位当添加一个HTML元素，不设置定位方式默认为静态定位（position：static），静

水深无声/ 2021年09月20日 15:32/ 0 赞/ 778 阅读

相关 user32.dll的源码

user32.dll的源码 using System; using System.Collections.Generic; using Syste

Bertha 。/ 2021年07月04日 18:39/ 0 赞/ 390 阅读