首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[求助]求助NtQuerySystemInformation列模块返回的Section是什么?
发表于: 2009-7-20 20:55 5784

[求助]求助NtQuerySystemInformation列模块返回的Section是什么?

superleft 活跃值
2009-7-20 20:55
5784
NtQuerySystemInformation在查询 SystemModuleInformation的时候,传入的结构
typedef struct _RTL_PROCESS_MODULE_INFORMATION {
    HANDLE Section;                 // Not filled in
    PVOID MappedBase;
    PVOID ImageBase;
    ULONG ImageSize;
    ULONG Flags;
    USHORT LoadOrderIndex;
    USHORT InitOrderIndex;
    USHORT LoadCount;
    USHORT OffsetToFileName;
    UCHAR  FullPathName[ 256 ];
} RTL_PROCESS_MODULE_INFORMATION, *PRTL_PROCESS_MODULE_INFORMATION;

RTL这是参考WRK里的命名, 也就是有些同学叫的SYSTEM_MODULE_INFORMATION.

       其中搞不明白的是 第一个成员:HANDLE Section. WRK并没有演示怎么操作的. 我很想知道它是什么类型.
       我试着ObReferenceObjectByHandle 好像不行...

       请问各位老大, 可不可以通过这个成员 按照 Section->...->FileObject路径获取到模块的完整路径?

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (4)
FlowerCode
雪    币： 202
活跃值： (11)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
按照WRK里的代码，ExpQueryModuleInformation并没有操作这个变量。
2009-7-20 21:17
0
superleft
雪    币： 169
活跃值： (52)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
是的, 但是我在windbg在正常系统上能够看到这个成员有值... 它究竟和这个image的section有什么关系呢?
非WRK的定义:
typedef struct _SYSTEM_MODULE_INFORMATION_ENTRY {
	HANDLE Section;
	PVOID MappedBase;
	PVOID Base;
	ULONG Size;
	ULONG Flags;
	USHORT LoadOrderIndex;
	USHORT InitOrderIndex;
	USHORT LoadCount;
	USHORT PathLength;
	CHAR ImageName[256];
} SYSTEM_MODULE_INFORMATION_ENTRY, *PSYSTEM_MODULE_INFORMATION_ENTRY;
2009-7-20 21:29
0
techie
雪    币： 74
活跃值： (10)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
4 楼
FileObject中的FileName在MJ_CREATE完成以后不一定存的是真正的文件名
2009-7-20 22:26
0
superleft
雪    币： 169
活跃值： (52)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
IDA了下.
NtQuerySystemInformation() --> ExpQueryModuleInformation()不会操作 HANDLE Section.
但是能看到这个Section 有值.... 而且在Windbg中看到是很有规律的.. 但无法确定是什么结构.

HANDLE Section = 0xE395005C
kd> dd 0xE395005C
e395005c  001f0001 82395631 00000040 e179b3d1
e395006c  001f0001 82395631 00000040 e1bc1831
e395007c  001f0001 82395631 00000040 e1eefdf9
e395008c  001f0001 82395631 00000040 82395631
e395009c  00000040 82395631 00000040 82395631
e39500ac  00000040 82395631 00000040 82395631
e39500bc  00000040 82395631 00000040 82395631
e39500cc  00000040 82395631 00000040 82395631
2009-7-21 09:47
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//