首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 看雪社区
  2. 编程技术
    3. 发新帖
[求助]求助NtQuerySystemInformation列模块返回的Section是什么?
2009-7-20 20:55 5073

[求助]求助NtQuerySystemInformation列模块返回的Section是什么?

superleft 活跃值
2009-7-20 20:55
5073
NtQuerySystemInformation在查询 SystemModuleInformation的时候,传入的结构
typedef struct _RTL_PROCESS_MODULE_INFORMATION {
    HANDLE Section;                 // Not filled in
    PVOID MappedBase;
    PVOID ImageBase;
    ULONG ImageSize;
    ULONG Flags;
    USHORT LoadOrderIndex;
    USHORT InitOrderIndex;
    USHORT LoadCount;
    USHORT OffsetToFileName;
    UCHAR  FullPathName[ 256 ];
} RTL_PROCESS_MODULE_INFORMATION, *PRTL_PROCESS_MODULE_INFORMATION;

RTL这是参考WRK里的命名, 也就是有些同学叫的SYSTEM_MODULE_INFORMATION.

       其中搞不明白的是 第一个成员:HANDLE Section. WRK并没有演示怎么操作的. 我很想知道它是什么类型.
       我试着ObReferenceObjectByHandle 好像不行...

       请问各位老大, 可不可以通过这个成员 按照 Section->...->FileObject路径获取到模块的完整路径?

[CTF入门培训]顶尖高校博士及硕士团队亲授《30小时教你玩转CTF》，视频+靶场+题目！助力进入CTF世界

收藏
点赞・0
打赏
分享
最新回复 (4)
FlowerCode
雪    币： 202
活跃值： (11)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
FlowerCode 2009-7-20 21:17
2 楼
0
按照WRK里的代码，ExpQueryModuleInformation并没有操作这个变量。
superleft
雪    币： 169
活跃值： (22)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
superleft 2009-7-20 21:29
3 楼
0
是的, 但是我在windbg在正常系统上能够看到这个成员有值... 它究竟和这个image的section有什么关系呢?
非WRK的定义:
typedef struct _SYSTEM_MODULE_INFORMATION_ENTRY {
	HANDLE Section;
	PVOID MappedBase;
	PVOID Base;
	ULONG Size;
	ULONG Flags;
	USHORT LoadOrderIndex;
	USHORT InitOrderIndex;
	USHORT LoadCount;
	USHORT PathLength;
	CHAR ImageName[256];
} SYSTEM_MODULE_INFORMATION_ENTRY, *PSYSTEM_MODULE_INFORMATION_ENTRY;
techie
雪    币： 74
活跃值： (10)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
techie 2009-7-20 22:26
4 楼
0
FileObject中的FileName在MJ_CREATE完成以后不一定存的是真正的文件名
superleft
雪    币： 169
活跃值： (22)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
superleft 2009-7-21 09:47
5 楼
0
IDA了下.
NtQuerySystemInformation() --> ExpQueryModuleInformation()不会操作 HANDLE Section.
但是能看到这个Section 有值.... 而且在Windbg中看到是很有规律的.. 但无法确定是什么结构.

HANDLE Section = 0xE395005C
kd> dd 0xE395005C
e395005c  001f0001 82395631 00000040 e179b3d1
e395006c  001f0001 82395631 00000040 e1bc1831
e395007c  001f0001 82395631 00000040 e1eefdf9
e395008c  001f0001 82395631 00000040 82395631
e395009c  00000040 82395631 00000040 82395631
e39500ac  00000040 82395631 00000040 82395631
e39500bc  00000040 82395631 00000040 82395631
e39500cc  00000040 82395631 00000040 82395631
游客
登录 | 注册 方可回帖
　回帖　 表情 雪币赚取及消费
高级回复
返回