精易论坛

标题: 让32位进程可以像64进程一样接收线程8字节参数 [打印本页]

---

作者: 树上的鱼儿    时间: 2023-3-14 15:09
标题: 让32位进程可以像64进程一样接收线程8字节参数

---

前言:

---

这其实是一个困扰我许久的一个奇怪想法而引出的.
期初是因为在封装x64远程hook时希望64位进程可以向32位进程远程线程传递8字节参数.
当时搜遍互联网似乎也没有发现关于此类问题的讨论或解决方案的产生.
大家似乎都默认了这件事情的合理性 是的它看上去的确是那么的合理.

---

立案:

---

我们知道 创建一条线程  可以有一个参数  这个参数 在不同的bit环境  拥有不同的长度
在x86 API中 它是4字节的,在x64 API中 它是8字节的,这看上去很合理本身它也没有什么问题

也就是说:

32位进程之间 创建线程  参数大小保持在4字节
64位进程之间 创建线程  参数大小保持在8字节

32位进程-->64位进程 创建线程 时 由于wow64虚拟环境的存在 这个时候可以分为两种情况了
1:32位进程使用x86API创建线程 由于bit受限 只能传递4字节参数
2:32位进程使用x64API创建线程 可以传递8字节参数

以上没有什么问题很合理合法  那么当:

64位进程-->32位进程 创建线程 时 似乎出现了一点问题,合法的8字节被高位截肢,而且显得那么的平均
也就是说 使用x64API创建线程 接收方是32位进程时  线程参数只能收到下半身 上半身被截去了
喜欢破案的兄弟免不了会在线程执行入口下断寻找线索
可惜 不论从寄存器还是栈中  似乎都找不到线索  这截上半身消失的无影无踪  

为此本案只能暂时搁置封存,直到某一天再次翻阅本案产生新的感悟

我们知道 创建一条线程 由内核态转入应用层 x86 与 x64 进入R3层的第一条指令位置是不同的
而32位进程由于其具备得天独厚的wow64天赋神通,同时具备以上天赋
由此我们在 x64的 ntdll.LdrInitializeThunk 函数下断,果不其然,这截消失的上半身在栈中存在遗留
当它经过wow64环境的切换 和 线程环境的初始 后  这截上半身又会消失的无影无踪

---

破案:

---

为了让这截上半身不丢失,为此不得不构造一个钩子,勾住 x64.ntdll.LdrInitializeThunk
并且把这截上半身复制到另外一处不会丢失的栈RVA中
这样就能在转入 线程执行入口 后 栈中依然存留有这截上半身的信息
比如这样:


为了让这截上半身能找得到原来的主人
我们还需要在 "线程执行入口"的第一句代码执行类似这样的内联汇编

' push eax
' push edi
' push esi
' mov edi,ebp
' xor esi,esi
' xor eax,eax _循环1
' mov eax,dword ptr ss:[edi]
' test eax,eax
' jz _为0跳
' add esi,1
' mov edi,eax
' jmp _循环1
' _为0跳
' mov edi,ebp
' sub esi,2
' test esi,esi _循环2
' jz _为0跳2
' mov edi,dword ptr ss:[edi]
' sub esi,1
' jmp _循环2
' mov eax,[edi+0x14] _为0跳2
' mov [ebp+0xc],eax
' pop esi
' pop edi
' pop eax

---

题外:

---

看上去这好像并没有多少用处,是的看上去的确如此
但是在某些时候,这又显得无比重要

---

附件:含 X64_安装线程长参数钩子.e

以及
wow64_hook_3.0.2模块源码.e 的一次修复性更新
' 2023/3/11 模块源码3.02 修正
' 1:修正 X64_劫持环境ShellCode 的遗漏对齐问题,该问题可能导致 绑定线程情况下调用函数时偶发性导致目标进程崩溃
' 2:修正了已知BUG
(回复可见)
[hide=d999] X64_安装线程长参数钩子.e (108.93 KB, 下载次数: 62)

2023-3-14 15:07 上传

点击文件名下载附件
下载积分: 精币 -2 枚

wow64_hook_3.0.2模块源码.e (574.65 KB, 下载次数: 94)

2023-3-14 15:07 上传

点击文件名下载附件
下载积分: 精币 -2 枚

[/hide]

---

作者: Zangetsu    时间: 2023-3-14 15:45
        感谢分享，很给力！~

---

作者: 123456ppt    时间: 2023-3-14 15:51
感谢分享，很给力！~

---

作者: muye84    时间: 2023-3-14 15:58
感谢分享，很给力！~

---

作者: 烈焰029雨魔    时间: 2023-3-14 16:15

        感谢分享，很给力！

---

作者: 猪滴寳貝哝    时间: 2023-3-14 16:20
非常非常给力啊！牛逼！！

---

作者: xiaoj88    时间: 2023-3-14 16:39
66666666666666666

---

作者: jing2020yi    时间: 2023-3-14 16:41
谢谢分享~

---

作者: 空竹    时间: 2023-3-14 16:43
群主牛逼。。。

---

作者: sinewtec    时间: 2023-3-14 17:05
感谢楼主的分享,学习一下

---

作者: wjswzj0    时间: 2023-3-14 17:10
感谢分享，很给力！~

---

作者: jysoft2022    时间: 2023-3-14 17:23
谢谢分享

---

作者: static007    时间: 2023-3-14 17:26

---

作者: qq2518    时间: 2023-3-14 17:41
感谢分享，学习了

---

作者: 天雨时晴    时间: 2023-3-14 19:05
学习了

---

作者: 深圳梦    时间: 2023-3-14 19:23
支持开源~！感谢分享

---

作者: 不苦小和尚    时间: 2023-3-14 20:17
让32位进程可以像64进程一样接收线程8字节参数[奇淫杂谈记] [修改]

---

作者: ‖陌颜の小溪＂    时间: 2023-3-14 20:19
66666666666666666

---

作者: 网络注册络员    时间: 2023-3-14 20:59
支持一下

---

作者: incwin    时间: 2023-3-14 21:19
支持一下

---

作者: 亿万    时间: 2023-3-14 21:52
支持开源~！感谢分享

---

作者: asd2168972    时间: 2023-3-14 22:21
哈哈哈哈，好优秀的文笔

---

作者: 一尘不染    时间: 2023-3-14 22:34
支持开源~！感谢分享

---

作者: 794229345    时间: 2023-3-14 23:34
膜拜大佬！大佬牛B！

---

作者: 我爱逛精易    时间: 2023-3-15 13:04

---

作者: Kyu    时间: 2023-3-15 13:11

---

作者: 794229345    时间: 2023-3-15 21:43
看下隐藏内容~~

---

作者: 794229345    时间: 2023-3-15 21:44
膜拜大佬！大佬牛B！

---

作者: 杨明煜    时间: 2023-3-16 08:12
学习进步！......

---

作者: 安哥    时间: 2023-3-16 08:50
感谢分享，很给力！~

---

作者: 一指温柔    时间: 2023-3-16 09:18
支持开源~！感谢分享

---

作者: 396384183    时间: 2023-3-16 09:58

支持开源~！感谢分享

---

作者: 3849611    时间: 2023-3-17 11:40
进程可以像64进程一样接收线

---

作者: Openprocess    时间: 2023-3-17 17:49


支持开源~！感谢分享

---

作者: Openprocess    时间: 2023-3-17 17:52
支持开源~！感谢分享

---

作者: Openprocess    时间: 2023-3-17 17:52
支持开源~！感谢分享

---

作者: Openprocess    时间: 2023-3-17 17:54

支持开源~！感谢分享

---

作者: Openprocess    时间: 2023-3-17 17:54

支持开源~！感谢分享w

---

作者: 976057476    时间: 2023-3-17 19:37
感谢楼主分享

---

作者: shentong    时间: 2023-3-18 12:15
kkkkkkkkkkkkkkk

---

作者: 风云思星    时间: 2023-3-18 18:56
支持一下 666

---

作者: 1637073515    时间: 2023-3-18 21:44
5514dfsdfdsf

---

作者: linqing4    时间: 2023-3-19 08:48
大佬，太牛了，看不懂。。。

---

作者: z博士    时间: 2023-3-19 18:11
感谢分享

---

作者: 飞鱼软件    时间: 2023-3-20 09:12
感谢分享 支持开源 ！

---

作者: mnade108723    时间: 2023-3-20 22:19
感谢大佬谢谢

---

作者: 韦贝贝    时间: 2023-3-22 09:25
开源精神必须支持~

---

作者: bin0423    时间: 2023-3-22 13:50
感谢分享 支持开源 ！

---

作者: 快看    时间: 2023-3-24 21:09
感谢 很好用~

---

作者: 13459687768    时间: 2023-3-26 14:41
好东西一定要支持

---

作者: jiqigouer    时间: 2023-3-27 14:58
谢谢分享

---

作者: xiouluote    时间: 2023-3-27 20:04
66666666666

---

作者: CanK    时间: 2023-3-27 22:33
        感谢分享，很给力！~

---

作者: 范哥范小飞    时间: 2023-3-30 09:09
操作系统应该会内存映射，x64位内存的地址对应在32位内存又有一个地址。
是这样吗？

---

作者: summeralone    时间: 2023-4-1 21:56
666666666666666

---

作者: 8759880456    时间: 2023-4-2 13:17
wow64_hook_3.0.2模块源码.e

---

作者: lzgking    时间: 2023-4-8 20:53
感谢分享，很给力~~

---

作者: 戏言神话    时间: 2023-4-8 23:17
鱼哥牛皮啊，我代表王爽向你送来橄榄枝

---

作者: frh35860    时间: 2023-4-12 19:11
奇怪的姿势又增加了，支持一个

---

作者: yuzhong    时间: 2023-5-10 14:34
感谢分享

---

作者: wuming无名    时间: 2023-5-28 22:09
鱼佬牛批

---

作者: VerygoodZzZ    时间: 2023-6-26 18:17
感谢分享

---

作者: VerygoodZzZ    时间: 2023-6-26 19:59
我想请问一下远程HOOK是否支持直接汇编?要用什么形式,置入代码可以吗

---

作者: VerygoodZzZ    时间: 2023-7-4 02:26
调用远程hook64指令_全部卸载会导致后面的代码不执行

---

作者: xmz_2005    时间: 2023-10-26 11:37
谢谢分享

---

作者: ccizz    时间: 2024-4-28 00:46
谢谢分享

---

作者: なす随风ぬね    时间: 2024-6-1 11:38
太牛逼了，我看不懂

---

作者: 春申门下三千客    时间: 2024-6-18 12:26
鱼总牛逼，可惜我看不懂~~~

---

作者: ken1987    时间: 2024-10-22 07:22
支持开源

---

作者: ken1987    时间: 2024-10-22 07:31
下载看看

---

作者: cxzyt0012520    时间: 2024-10-30 04:04
牛逼

---

作者: 614430887    时间: 2024-11-18 14:10
支持开源~！感谢分享

---

作者: lkywylzz    时间: 2025-2-22 23:42
6666666666666666666

---

欢迎光临 精易论坛 (https://125.confly.eu.org/)

Powered by Discuz! X3.4