【文章标题】: 巧用CDB解决问题
【文章作者】: kkbing
【作者声明】: 只想说明：遇到疑问，在求助他人的同时，也要自己想法解决。
--------------------------------------------------------------------------------
【详细过程】
一.遇到疑问。一般来说，在编码dll注射，shellcode及病毒时，都不可避免要获得kernel32的基址。
获得其基址的方法大体有三种：扫描SEH,利用hardcode及PEB法。在用PEB法时我看到两种不同的代码，如下.
1.mov eax, dword ptr FS:[30h]
mov eax, dword ptr[eax+0ch]
mov eax, dword ptr[eax+1ch]
mov eax, dword ptr[eax]
mov eax, [eax+8]
2.mov eax,fs:[18h]
mov eax,[eax+30h]
mov eax, dword ptr[eax+0ch]
mov eax, dword ptr[eax+1ch]
mov eax, dword ptr[eax]
mov eax, [eax+8]
很明显可以看出，第2个代码比第1个代码多了一行，是不是错了？最终检验是对的！那么只有一个
解释，mov eax,fs:[18h]就等于mov eax,fs:[0].接着就要验正了，这必然和结构有关，但无奈手
边资料匮乏，怎么办？这时想到了CDB中的dt命令，可以用来分析结构。
二.构建CDB.CDB是windbg中的一个基于命令行的工具，操作起来比较简单。另外就是安装调试符号
尽管可以在线下载用，但如果网速不快还是下载打包文件回来默认安装的好。如我的windbg安装在
c:\windbg目录，调试符号在c:\windows\symbols.下来为了方便，建一个批处理文件，很简单。
@echo off
set path=d:\windbg;%path%; //设置相对路径
set _nt_symbol_path=c:\windows\symbols //设置符号路径
echo on
命名为windbg.bat，存放在d:\下
三.解决问题。
1.顺便检验fs:[0]是否指向TEB.
d:\>windbg
d:\>cdb notepad //随便打开一个可执行文件进入调试状态
.....
0:000>dg @fs //显示fs的信息，注意Base基址值
Sel Base Limit Type ....
--- -------- ------- ---------...
003B 7ffdf000 00000fff Data RW...
0:000>r $teb //显示teb的基址
$teb=7ffdf000
可以发现两基址是相同的，都是7ffdf000
2.查看TEB结构
0:000>dt ntdll!*teb* //dt是显示数据结构的常用命令，在不知具体结构是
时可用* *
ntdll!_teb
.....
0:000>dt ntdll!_teb
ntdll!_TEB
+0x000 NtTib :_NT_TIB
+0x01c EnvironmentPointer:Ptr32 Void
+0x020 ClientId :_CLIENT_ID
+0x028 ActiveRpcHandl3 :Ptr32 Void
+0x030 ProcessEnvironmentBlock:Ptr32 _PEB //这就是fs:[30}的来源
......
那么fs:[28]从何而来呢？请看
0:000>dt _nt_tib
ntdll!_NT_TIB
+0x000 ExceptionList :Ptr32 _EXCEPTION_REGISTRATION_RECORD
+0x004 StackBase :Ptr32 Void
+0x008 StackLimit :Ptr32 Void
+0x00c SubSystemTib :Ptr32 Void
+0x010 FiberData :Ptr32 Void
+0x010 Version :Uint4B
+0x014 ArbitratyUserPointer :Ptr32 Void
+0x018 Self :Ptr32 _NT_TIB //注意
从TIB的结构可以看出其最后一个0x18偏移出是指向自身的。也就是说
fs:[18]与fs:[0]尽管在逻辑地址上不一样，但最终都映射在了相同的
物理地址。
3.结论。通过以上分析就明白了，尽管表述上有差异，但最终结果是一样
的，这是内在结构上的一种“巧合”吧。所以为了代码简单，明了，以后就
可以直接用fs:[30]来获取PEB了。心中的疑惑没了，爽！
以上只是简单的分析而已，如果想要枚举当前进程中的所有模块
可以进一步不分析的，只怪自己水平有限，高手莫笑。
--------------------------------------------------------------------------------
【经验总结】
知其然，更应知其所以然。
--------------------------------------------------------------------------------
【版权声明】: 本文原创于看雪技术论坛, 转载请注明作者并保持文章的完整, 谢谢!
2006年05月15日 22:56:03
