如何獲取自定義函數的地址？

Question

我正在嘗試掛鈎用戶定義的函數。 （通過 DLL 注入和內聯函數掛鈎）
為此，我需要獲取函數的地址以掛接到進程內存中。

我嘗試了各種方法來找到地址，最后得出了下面的等式。

（偏移量）=（EXE 文件中函數的地址）-（EXE 文件的圖像庫）

(進程內存中的函數地址) = (GetModuleHandle(NULL)) + (offset)

但是，我不確定這個等式是否始終成立。 （例如，當發生DLL Relocation時，我擔心這個等式可能是錯誤的。）

總之，我想知道這個等式是否總是成立。 如果沒有，我想知道如何解決這個等式。

（本文由谷歌翻譯翻譯。）

---

< testwinapi / main.cpp >

#include <stdio.h>
#include <Windows.h>

void capture(HBITMAP* canvas);

int APIENTRY WinMain(_In_ HINSTANCE hInstance, _In_opt_ HINSTANCE hPrevInstance, _In_ LPSTR lpCmdLine, _In_ int nShowCmd) {
    while(1) {
        HBITMAP canvas;
        capture(&canvas);
        Sleep(2000);
    }

    return 0;
}

void capture(HBITMAP* canvas) {
    RECT srcRect;
    HWND hSrcWnd;
    HDC hSrcDC, hDestDC;

    hSrcWnd = GetDesktopWindow();
    hSrcDC = GetDC(hSrcWnd);

    GetWindowRect(hSrcWnd, &srcRect);
    int SrceenWidth = srcRect.right - srcRect.left;
    int SrceenHeight = srcRect.bottom - srcRect.top;

    hDestDC = CreateCompatibleDC(hSrcDC);
    *canvas = CreateCompatibleBitmap(hSrcDC, SrceenWidth, SrceenHeight);
    SelectObject(hDestDC, *canvas);

    for (int y = 0; y < SrceenHeight; y += 50) {
        BitBlt(hDestDC, 0, y, SrceenWidth, 50, hSrcDC, 0, y, SRCCOPY);
        Sleep(2);
    }

    ReleaseDC(hSrcWnd, hSrcDC);
    DeleteDC(hDestDC);
}

<testdll/dllmain.cpp>

#include "pch.h"

DWORD WriteLog(LPCTSTR format, ...);
void MyCapture(HBITMAP* canvas);

void(*originFunc)(HBITMAP*) = reinterpret_cast<void(*)(HBITMAP*)>(0x941880); //Address of function in process memory

DWORD WriteLog(LPCTSTR lpszFormat, ...) {
    TCHAR szLog[512];
    DWORD dwCharsWritten;

    va_list args;
    va_start(args, lpszFormat);
    _vstprintf_s(szLog, 512, lpszFormat, args);
    va_end(args);

    WriteConsole(GetStdHandle(STD_OUTPUT_HANDLE), szLog, _tcslen(szLog), &dwCharsWritten, NULL);

    return dwCharsWritten;
}

void MyCapture(HBITMAP* canvas) {
    WriteLog(TEXT("Function called : capture(0x%X)\n"), (DWORD)canvas);
    return originFunc(canvas);
}

BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) {
    if (DetourIsHelperProcess())
        return TRUE;

    switch (ul_reason_for_call) {
    case DLL_PROCESS_ATTACH:
        AllocConsole();
        DetourRestoreAfterWith();
        DetourTransactionBegin();
        DetourUpdateThread(GetCurrentThread());
        DetourAttach(&(PVOID&)originFunc, MyCapture);
        DetourTransactionCommit();
        break;
    case DLL_PROCESS_DETACH:
        FreeConsole();
        DetourTransactionBegin();
        DetourUpdateThread(GetCurrentThread());
        DetourDetach(&(PVOID&)originFunc, MyCapture);
        DetourTransactionCommit();
        break;
    }

    return TRUE;
}

<testdll/pch.cpp>

#include "pch.h"

<testdll/pch.h>

#ifndef PCH_H
#define PCH_H

#include "framework.h"
#include <stdio.h>
#include <stdarg.h>
#include <tchar.h>
#include <detours.h> 
//MS Detours library 
//Can be downloaded from NuGet Package Manager

#endif

<testdll/framework.h>

#pragma once

#define WIN32_LEAN_AND_MEAN
#include <windows.h>

< DLL 注入器 >
https://github.com/DarthTon/Xenos/releases/latest

---

將“testdll.dll”注入“testwinapi.exe”后，我希望能夠監視“捕獲”函數調用。 （因為'capture'函數是逆向重構的，所以假設沒有'testwinapi.exe'的源碼）

---

---

Answer 1

模塊重定位作為一個整體發生。 各個部分永遠不會相對於圖像庫移動。 每個部分的偏移量 (RVA) 都硬編碼在模塊頭中。

例如：

#  Name   VirtSize RVA      PhysSize Offset
1 .text   000C44C1 00001000 000C4600 00000800
2 .data   00000FEC 000C6000 00000E00 000C4E00
3 .rsrc   00000520 000C7000 00000600 000C5C00
4 .reloc  0000B098 000C8000 0000B200 000C6200

無論映像基址如何，這些部分都以指定的 RVA 偏移量加載。 還有隱含的“標題”部分，其中 RVA 為 0，大小為 0x1000，這就是第一部分從 0x1000 開始的原因。 請注意，RVA 偏移量 != 文件偏移量。

所以是的，給定一些已知的圖像基址和其中的地址，該地址與圖像基址的偏移量將保持不變。

例如，這允許 64 位代碼在 .data 部分中使用 RIP 相對尋址，從而節省了修正。