告别GetProcAddress被Hook的烦恼：手写PE解析函数获取LdrLoadDll地址的实战教程

从PE结构到函数寻址：构建抗干扰的LdrLoadDll挂钩方案

在Windows系统开发中，模块加载监控是许多安全产品和调试工具的核心需求。传统方案依赖GetProcAddress这类API获取关键函数地址，但在对抗环境下，这些API本身可能成为攻击目标。本文将深入探讨如何通过手动解析PE文件结构，实现不依赖系统API的函数地址查找，并构建稳定的LdrLoadDll挂钩系统。

1. PE文件结构与导出表解析基础

PE（Portable Executable）文件格式是Windows操作系统下可执行文件的通用结构标准。理解PE结构是手动查找函数地址的前提条件。

1.1 PE核心数据结构

一个典型的PE文件包含以下关键部分：

typedef struct _IMAGE_DOS_HEADER { WORD e_magic; // "MZ"签名 // ...其他字段 LONG e_lfanew; // NT头偏移 } IMAGE_DOS_HEADER; typedef struct _IMAGE_NT_HEADERS { DWORD Signature; // "PE\0\0" IMAGE_FILE_HEADER FileHeader; IMAGE_OPTIONAL_HEADER OptionalHeader; } IMAGE_NT_HEADERS;

导出表位于可选头的数据目录数组中，索引为IMAGE_DIRECTORY_ENTRY_EXPORT（通常为0）。导出表结构如下：

typedef struct _IMAGE_EXPORT_DIRECTORY { DWORD Characteristics; DWORD TimeDateStamp; WORD MajorVersion; WORD MinorVersion; DWORD Name; DWORD Base; DWORD NumberOfFunctions; DWORD NumberOfNames; DWORD AddressOfFunctions; DWORD AddressOfNames; DWORD AddressOfNameOrdinals; } IMAGE_EXPORT_DIRECTORY;

1.2 导出表查找流程

手动查找函数地址的标准流程：

1. 验证DOS头签名（"MZ"）
2. 定位NT头并验证PE签名
3. 从数据目录获取导出表RVA（相对虚拟地址）
4. 解析导出表的三个关键数组：
   • AddressOfFunctions：函数地址数组
   • AddressOfNames：函数名指针数组
   • AddressOfNameOrdinals：函数序号数组

注意：所有RVA都需要转换为实际内存地址，即模块基址+RVA

2. 实现健壮的MyGetProcAddress函数

2.1 基础线性搜索实现

以下是32/64位兼容的基础实现框架：

FARPROC MyGetProcAddress(HMODULE hModule, LPCSTR lpProcName) { // 获取DOS头 auto pDosHeader = reinterpret_cast<PIMAGE_DOS_HEADER>(hModule); if (pDosHeader->e_magic != IMAGE_DOS_SIGNATURE) return nullptr; // 获取NT头 auto pNtHeaders = reinterpret_cast<PIMAGE_NT_HEADERS>( reinterpret_cast<BYTE*>(hModule) + pDosHeader->e_lfanew); if (pNtHeaders->Signature != IMAGE_NT_SIGNATURE) return nullptr; // 获取导出表 auto exportDir = reinterpret_cast<PIMAGE_EXPORT_DIRECTORY>( reinterpret_cast<BYTE*>(hModule) + pNtHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress); // 获取三个关键数组 auto pNames = reinterpret_cast<DWORD*>( reinterpret_cast<BYTE*>(hModule) + exportDir->AddressOfNames); auto pFunctions = reinterpret_cast<DWORD*>( reinterpret_cast<BYTE*>(hModule) + exportDir->AddressOfFunctions); auto pOrdinals = reinterpret_cast<WORD*>( reinterpret_cast<BYTE*>(hModule) + exportDir->AddressOfNameOrdinals); // 线性搜索 for (DWORD i = 0; i < exportDir->NumberOfNames; ++i) { LPCSTR pName = reinterpret_cast<LPCSTR>( reinterpret_cast<BYTE*>(hModule) + pNames[i]); if (strcmp(pName, lpProcName) == 0) { return reinterpret_cast<FARPROC>( reinterpret_cast<BYTE*>(hModule) + pFunctions[pOrdinals[i]]); } } return nullptr; }

2.2 性能优化：二分查找

对于大型DLL（如user32.dll），导出函数可能多达上千个，线性搜索效率低下。我们可以利用导出表名称数组已排序的特性实现二分查找：

// 在MyGetProcAddress中替换线性搜索部分 DWORD low = 0; DWORD high = exportDir->NumberOfNames - 1; while (low <= high) { DWORD mid = low + (high - low) / 2; LPCSTR pName = reinterpret_cast<LPCSTR>( reinterpret_cast<BYTE*>(hModule) + pNames[mid]); int cmp = strcmp(pName, lpProcName); if (cmp == 0) { return reinterpret_cast<FARPROC>( reinterpret_cast<BYTE*>(hModule) + pFunctions[pOrdinals[mid]]); } if (cmp < 0) { low = mid + 1; } else { high = mid - 1; } }

性能对比测试结果：

2.3 异常处理与边界检查

健壮的实现需要考虑各种异常情况：

__try { // 所有内存访问操作 auto pName = reinterpret_cast<LPCSTR>( reinterpret_cast<BYTE*>(hModule) + pNames[i]); // ... } __except (EXCEPTION_EXECUTE_HANDLER) { SetLastError(ERROR_ACCESS_DENIED); return nullptr; }

关键边界检查点：

1. 模块基址有效性验证
2. PE签名验证
3. 导出表RVA范围检查
4. 名称指针有效性验证

3. TLS回调与LdrLoadDll挂钩实战

3.1 TLS回调机制详解

线程局部存储(TLS)回调是Windows提供的在程序入口点前执行的机制，非常适合用于早期初始化工作。其核心数据结构位于PE头的IMAGE_DIRECTORY_ENTRY_TLS目录。

典型TLS回调注册方式：

// 告知链接器使用TLS #ifdef _WIN64 #pragma comment(linker, "/INCLUDE:_tls_used") #pragma comment(linker, "/INCLUDE:tls_callback_func") #else #pragma comment(linker, "/INCLUDE:__tls_used") #pragma comment(linker, "/INCLUDE:_tls_callback_func") #endif // TLS回调数组 #ifdef _WIN64 #pragma const_seg(".CRT$XLF") #else #pragma data_seg(".CRT$XLF") #endif EXTERN_C PIMAGE_TLS_CALLBACK tls_callback_func[] = { TLS_Callback, // 用户定义的回调函数 nullptr // 结束标记 }; #ifdef _WIN64 #pragma const_seg() #else #pragma data_seg() #endif

3.2 LdrLoadDll挂钩实现

在TLS回调中实现稳定的挂钩：

void NTAPI TLS_Callback(PVOID DllHandle, DWORD Reason, PVOID Reserved) { if (Reason != DLL_PROCESS_ATTACH) return; // 获取原始LdrLoadDll地址 HMODULE hNtdll = GetModuleHandleW(L"ntdll.dll"); PVOID pLdrLoadDll = MyGetProcAddress(hNtdll, "LdrLoadDll"); // 备份原始指令 memcpy(g_OriginalBytes, pLdrLoadDll, sizeof(g_OriginalBytes)); // 构造跳转指令 BYTE jmpCode[13] = { 0x49, 0xBB, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, // mov r11, addr 0x41, 0xFF, 0xE3 // jmp r11 }; *(PVOID*)(jmpCode + 2) = &HookedLdrLoadDll; // 写入钩子 DWORD oldProtect; VirtualProtect(pLdrLoadDll, sizeof(jmpCode), PAGE_EXECUTE_READWRITE, &oldProtect); memcpy(pLdrLoadDll, jmpCode, sizeof(jmpCode)); VirtualProtect(pLdrLoadDll, sizeof(jmpCode), oldProtect, &oldProtect); }

3.3 钩子函数实现

钩子函数需要处理模块加载逻辑并调用原始函数：

NTSTATUS NTAPI HookedLdrLoadDll( PWSTR SearchPath, PULONG DllCharacteristics, PUNICODE_STRING DllName, PVOID* BaseAddress) { // 恢复原始指令 DWORD oldProtect; VirtualProtect(g_pLdrLoadDll, sizeof(g_OriginalBytes), PAGE_EXECUTE_READWRITE, &oldProtect); memcpy(g_pLdrLoadDll, g_OriginalBytes, sizeof(g_OriginalBytes)); VirtualProtect(g_pLdrLoadDll, sizeof(g_OriginalBytes), oldProtect, &oldProtect); // 模块加载前处理 LogModuleLoad(DllName); // 调用原始函数 auto status = ((PLdrLoadDll)g_pLdrLoadDll)( SearchPath, DllCharacteristics, DllName, BaseAddress); // 重新安装钩子 InstallHook(); return status; }

4. 高级技巧与异常处理

4.1 多线程环境下的稳定性

在挂钩过程中需要考虑：

1. 指令修改原子性：x86下8字节以内的修改是原子的，但x64需要额外处理
2. 并发调用问题：在钩子函数中可能被其他线程调用
3. 递归调用预防：确保钩子函数不会导致无限递归

解决方案示例：

// 线程安全的钩子安装 std::atomic_flag g_HookInstalling = ATOMIC_FLAG_INIT; void SafeInstallHook() { while (g_HookInstalling.test_and_set()) { YieldProcessor(); } // 实际安装逻辑 // ... g_HookInstalling.clear(); }

4.2 异常处理框架

完善的异常处理应包括：

1. 结构化异常处理(SEH)
2. 无效内存访问防护
3. 指令修改验证

__try { // 尝试读取PE头 auto pDosHeader = reinterpret_cast<PIMAGE_DOS_HEADER>(hModule); if (!IsReadable(pDosHeader, sizeof(IMAGE_DOS_HEADER))) return nullptr; // ...其他操作 } __except (FilterException(GetExceptionCode())) { LogError("Memory access violation while parsing PE"); return nullptr; }

4.3 现代CPU特性利用

为提高性能，可以利用：

1. 预取指令：__builtin_prefetch
2. SIMD指令加速字符串比较
3. 缓存行对齐优化

// SIMD加速的字符串比较示例 #include <intrin.h> bool CompareStringSSE42(const char* p1, const char* p2) { __m128i s1 = _mm_loadu_si128(reinterpret_cast<const __m128i*>(p1)); __m128i s2 = _mm_loadu_si128(reinterpret_cast<const __m128i*>(p2)); int mask = _mm_cmpistri(s1, s2, _SIDD_CMP_EQUAL_EACH | _SIDD_UWORD_OPS); return mask == 0; }