本篇原文为 Depths of Windows APC ，如果有良好的英文基础，可以点击该链接进行阅读。本文为我个人：寂静的羽夏(wingsummer) 中文翻译，非机翻，著作权归原作者 Rbmm 和 Dennis A. Babkin 所有。

  由于原文十分冗长，也十分干货，采用机翻辅助，人工阅读比对修改的方式进行，如有翻译不得当的地方，欢迎批评指正。翻译不易，如有闲钱，欢迎支持。注意在转载文章时注意保留原文的作者链接，我（译者）的相关信息。话不多说，正文开始：

本篇文章包含一些没有被原厂家（指微软）进行文档化的功能和特色。在阅读本篇文章的相关内容和建议之后，你应该为自己的所作所为负责。展示在本文的方法依赖于内部实现并且可能以后不再有效。

介绍

  在我们的第一篇关于错综复杂的用户APC的博文发布之后，我们决定从细节的深度拓展该主题，将会介绍有关异步过程调用（APC）在Windows操作系统的内部实现。

  那我们就开始吧，这里介绍没有什么特别的先后顺序。

目录

  以下所有主题之间的联系并不是特别紧密，所以你或许想要一个可以更容易查阅的目录表：

APC 内部实现概要

为了在后面的文章——《伸入 NT 内核的异步过程调用内幕》，能够更好让大家更深入的理解内核 APC 的内部实现，我们不会重复原来已经讲过的了，而是多多陈述一些其他且鲜为人知的 APC 相关的细节。

  为了更简洁的描述，在技术上说 APC 就是一堆在内存里存储的二进制字节，也就是所谓的 KAPC 结构体：

  1. typedef struct _KAPC {
  2.   UCHAR Type;
  3.   UCHAR SpareByte0;
  4.   UCHAR Size;
  5.   UCHAR SpareByte1;
  6.   ULONG SpareLong0;
  7.   _KTHREAD * Thread;
  8.   _LIST_ENTRY ApcListEntry;
  9.   void (* KernelRoutine)( _KAPC * , void (* * )( void * , void * , void * ), void * * , void * * , void * * );
  10.   void (* RundownRoutine)( _KAPC * );
  11.   void (* NormalRoutine)( void * , void * , void * );
  12.   void * Reserved[0x3];
  13.   void * NormalContext;
  14.   void * SystemArgument1;
  15.   void * SystemArgument2;
  16.   CHAR ApcStateIndex;
  17.   CHAR ApcMode;
  18.   UCHAR Inserted;
  19. }KAPC, *PKAPC;

  上述结构体是在KAPC_STATE结构体里面的双向链表一部分：

  1. typedef struct _KAPC_STATE {
  2.   _LIST_ENTRY ApcListHead[0x2];
  3.   _KPROCESS * Process;
  4.   UCHAR InProgressFlags;
  5.   UCHAR KernelApcInProgress : 01; // 0x01;
  6.   UCHAR SpecialApcInProgress : 01; // 0x02;
  7.   UCHAR KernelApcPending;
  8.   UCHAR UserApcPendingAll;
  9.   UCHAR SpecialUserApcPending : 01; // 0x01;
  10.   UCHAR UserApcPending : 01; // 0x02;
  11. }KAPC_STATE, *PKAPC_STATE;

  并且KAPC_STATE自身也是线程对象的一部分，存储在内核里的KTHREAD结构体中：

点击查看 KTHREAD 
  1. typedef struct _KTHREAD {
  2.   _DISPATCHER_HEADER Header;
  3.   void * SListFaultAddress;
  4.   ULONGLONG QuantumTarget;
  5.   void * InitialStack;
  6.   void * volatile StackLimit;
  7.   void * StackBase;
  8.   ULONGLONG ThreadLock;
  9.   ULONGLONG volatile CycleTime;
  10.   ULONG CurrentRunTime;
  11.   ULONG ExpectedRunTime;
  12.   void * KernelStack;
  13.   _XSAVE_FORMAT * StateSaveArea;
  14.   _KSCHEDULING_GROUP * volatile SchedulingGroup;
  15.   _KWAIT_STATUS_REGISTER WaitRegister;
  16.   UCHAR volatile Running;
  17.   UCHAR Alerted[0x2];
  18.   ULONG AutoBoostActive : 01; // 0x00000001;
  19.   ULONG ReadyTransition : 01; // 0x00000002;
  20.   ULONG WaitNext : 01; // 0x00000004;
  21.   ULONG SystemAffinityActive : 01; // 0x00000008;
  22.   ULONG Alertable : 01; // 0x00000010;
  23.   ULONG UserStackWalkActive : 01; // 0x00000020;
  24.   ULONG ApcInterruptRequest : 01; // 0x00000040;
  25.   ULONG QuantumEndMigrate : 01; // 0x00000080;
  26.   ULONG UmsDirectedSwitchEnable : 01; // 0x00000100;
  27.   ULONG TimerActive : 01; // 0x00000200;
  28.   ULONG SystemThread : 01; // 0x00000400;
  29.   ULONG ProcessDetachActive : 01; // 0x00000800;
  30.   ULONG CalloutActive : 01; // 0x00001000;
  31.   ULONG ScbReadyQueue : 01; // 0x00002000;
  32.   ULONG ApcQueueable : 01; // 0x00004000;
  33.   ULONG ReservedStackInUse : 01; // 0x00008000;
  34.   ULONG UmsPerformingSyscall : 01; // 0x00010000;
  35.   ULONG TimerSuspended : 01; // 0x00020000;
  36.   ULONG SuspendedWaitMode : 01; // 0x00040000;
  37.   ULONG SuspendSchedulerApcWait : 01; // 0x00080000;
  38.   ULONG CetUserShadowStack : 01; // 0x00100000;
  39.   ULONG BypassProcessFreeze : 01; // 0x00200000;
  40.   ULONG Reserved : 10; // 0xffc00000;
  41.   LONG MiscFlags;
  42.   ULONG BamQosLevel : 02; // 0x00000003;
  43.   ULONG AutoAlignment : 01; // 0x00000004;
  44.   ULONG DisableBoost : 01; // 0x00000008;
  45.   ULONG AlertedByThreadId : 01; // 0x00000010;
  46.   ULONG QuantumDonation : 01; // 0x00000020;
  47.   ULONG EnableStackSwap : 01; // 0x00000040;
  48.   ULONG GuiThread : 01; // 0x00000080;
  49.   ULONG DisableQuantum : 01; // 0x00000100;
  50.   ULONG ChargeOnlySchedulingGroup : 01; // 0x00000200;
  51.   ULONG DeferPreemption : 01; // 0x00000400;
  52.   ULONG QueueDeferPreemption : 01; // 0x00000800;
  53.   ULONG ForceDeferSchedule : 01; // 0x00001000;
  54.   ULONG SharedReadyQueueAffinity : 01; // 0x00002000;
  55.   ULONG FreezeCount : 01; // 0x00004000;
  56.   ULONG TerminationApcRequest : 01; // 0x00008000;
  57.   ULONG AutoBoostEntriesExhausted : 01; // 0x00010000;
  58.   ULONG KernelStackResident : 01; // 0x00020000;
  59.   ULONG TerminateRequestReason : 02; // 0x000c0000;
  60.   ULONG ProcessStackCountDecremented : 01; //   0x00100000;
  61.   ULONG RestrictedGuiThread : 01; // 0x00200000;
  62.   ULONG VpBackingThread : 01; // 0x00400000;
  63.   ULONG ThreadFlagsSpare : 01; // 0x00800000;
  64.   ULONG EtwStackTraceApcInserted : 08; // 0xff000000;
  65.   LONG volatile ThreadFlags;
  66.   UCHAR volatile Tag;
  67.   UCHAR SystemHeteroCpuPolicy;
  68.   UCHAR UserHeteroCpuPolicy : 07; // 0x7f;
  69.   UCHAR ExplicitSystemHeteroCpuPolicy : 01; // 0x80;
  70.   UCHAR RunningNonRetpolineCode : 01; // 0x01;
  71.   UCHAR SpecCtrlSpare : 07; // 0xfe;
  72.   UCHAR SpecCtrl;
  73.   ULONG SystemCallNumber;
  74.   ULONG ReadyTime;
  75.   void * FirstArgument;
  76.   _KTRAP_FRAME * TrapFrame;
  77.   _KAPC_STATE ApcState;
  78.   UCHAR ApcStateFill[0x2b];
  79.   CHAR Priority;
  80.   ULONG UserIdealProcessor;
  81.   LONGLONG volatile WaitStatus;
  82.   _KWAIT_BLOCK * WaitBlockList;
  83.   _LIST_ENTRY WaitListEntry;
  84.   _SINGLE_LIST_ENTRY SwapListEntry;
  85.   _DISPATCHER_HEADER * volatile Queue;
  86.   void * Teb;
  87.   ULONGLONG RelativeTimerBias;
  88.   _KTIMER Timer;
  89.   _KWAIT_BLOCK WaitBlock[0x4];
  90.   UCHAR WaitBlockFill4[0x14];
  91.   ULONG ContextSwitches;
  92.   UCHAR WaitBlockFill5[0x44];
  93.   UCHAR volatile State;
  94.   CHAR Spare13;
  95.   UCHAR WaitIrql;
  96.   CHAR WaitMode;
  97.   UCHAR WaitBlockFill6[0x74];
  98.   ULONG WaitTime;
  99.   UCHAR WaitBlockFill7[0xa4];
  100.   SHORT KernelApcDisable;
  101.   SHORT SpecialApcDisable;
  102.   ULONG CombinedApcDisable;
  103.   UCHAR WaitBlockFill8[0x28];
  104.   _KTHREAD_COUNTERS * ThreadCounters;
  105.   UCHAR WaitBlockFill9[0x58];
  106.   _XSTATE_SAVE * XStateSave;
  107.   UCHAR WaitBlockFill10[0x88];
  108.   void * volatile Win32Thread;
  109.   UCHAR WaitBlockFill11[0xb0];
  110.   _UMS_CONTROL_BLOCK * Ucb;
  111.   _KUMS_CONTEXT_HEADER * volatile Uch;
  112.   void * Spare21;
  113.   _LIST_ENTRY QueueListEntry;
  114.   ULONG volatile NextProcessor;
  115.   ULONG NextProcessorNumber : 31; // 0x7fffffff;
  116.   ULONG SharedReadyQueue : 01; // 0x80000000;
  117.   LONG QueuePriority;
  118.   _KPROCESS * Process;
  119.   _GROUP_AFFINITY UserAffinity;
  120.   UCHAR UserAffinityFill[0xa];
  121.   CHAR PreviousMode;
  122.   CHAR BasePriority;
  123.   CHAR PriorityDecrement;
  124.   UCHAR ForegroundBoost : 04; // 0x0f;
  125.   UCHAR UnusualBoost : 04; // 0xf0;
  126.   UCHAR Preempted;
  127.   UCHAR AdjustReason;
  128.   CHAR AdjustIncrement;
  129.   ULONGLONG AffinityVersion;
  130.   _GROUP_AFFINITY Affinity;
  131.   UCHAR AffinityFill[0xa];
  132.   UCHAR ApcStateIndex;
  133.   UCHAR WaitBlockCount;
  134.   ULONG IdealProcessor;
  135.   ULONGLONG NpxState;
  136.   _KAPC_STATE SavedApcState;
  137.   UCHAR SavedApcStateFill[0x2b];
  138.   UCHAR WaitReason;
  139.   CHAR SuspendCount;
  140.   CHAR Saturation;
  141.   USHORT SListFaultCount;
  142.   _KAPC SchedulerApc;
  143.   UCHAR SchedulerApcFill0[0x1];
  144.   UCHAR ResourceIndex;
  145.   UCHAR SchedulerApcFill1[0x3];
  146.   UCHAR QuantumReset;
  147.   UCHAR SchedulerApcFill2[0x4];
  148.   ULONG KernelTime;
  149.   UCHAR SchedulerApcFill3[0x40];
  150.   _KPRCB * volatile WaitPrcb;
  151.   UCHAR SchedulerApcFill4[0x48];
  152.   void * LegoData;
  153.   UCHAR SchedulerApcFill5[0x53];
  154.   UCHAR CallbackNestingLevel;
  155.   ULONG UserTime;
  156.   _KEVENT SuspendEvent;
  157.   _LIST_ENTRY ThreadListEntry;
  158.   _LIST_ENTRY MutantListHead;
  159.   UCHAR AbEntrySummary;
  160.   UCHAR AbWaitEntryCount;
  161.   UCHAR AbAllocationRegionCount;
  162.   CHAR SystemPriority;
  163.   ULONG SecureThreadCookie;
  164.   _KLOCK_ENTRY LockEntries[0x6];
  165.   _SINGLE_LIST_ENTRY PropagateBoostsEntry;
  166.   _SINGLE_LIST_ENTRY IoSelfBoostsEntry;
  167.   UCHAR PriorityFloorCounts[0x10];
  168.   ULONG PriorityFloorSummary;
  169.   LONG volatile AbCompletedIoBoostCount;
  170.   LONG volatile AbCompletedIoQoSBoostCount;
  171.   SHORT volatile KeReferenceCount;
  172.   UCHAR AbOrphanedEntrySummary;
  173.   UCHAR AbOwnedEntryCount;
  174.   ULONG ForegroundLossTime;
  175.   _LIST_ENTRY GlobalForegroundListEntry;
  176.   _SINGLE_LIST_ENTRY ForegroundDpcStackListEntry;
  177.   ULONGLONG InGlobalForegroundList;
  178.   LONGLONG ReadOperationCount;
  179.   LONGLONG WriteOperationCount;
  180.   LONGLONG OtherOperationCount;
  181.   LONGLONG ReadTransferCount;
  182.   LONGLONG WriteTransferCount;
  183.   LONGLONG OtherTransferCount;
  184.   _KSCB * QueuedScb;
  185.   ULONG volatile ThreadTimerDelay;
  186.   LONG volatile ThreadFlags2;
  187.   ULONG PpmPolicy : 02; // 0x00000003;
  188.   ULONG ThreadFlags2Reserved : 30; // 0xfffffffc;
  189.   ULONGLONG TracingPrivate[0x1];
  190.   void * SchedulerAssist;
  191.   void * volatile AbWaitObject;
  192. }KTHREAD, *PKTHREAD;

将线程挂靠到另一个进程

  值得注意的一点就是任何一个线程都可以通过调用KeStackAttachProcess（该函数会接收KAPC_STATE对象，并查看它的ApcState参数）临时地挂靠到另一个进程上，也可以通过调用KeUnstackDetachProcess函数脱离进程。但是这会有会导致问题一点点的可能性，所以开发者需要把注意力放到上面。

  因此，有一个十分重要的事情去理解，我们需要通过使用一个未被文档化但是导出的KeInitializeApc调用初始化一个APC对象：

  1. VOID KeInitializeApc(
  2.   IN PRKAPC Apc,          //pointer to KAPC
  3.   IN PKTHREAD Thread,
  4.   IN KAPC_ENVIRONMENT Environment,
  5.   IN PKKERNEL_ROUTINE KernelRoutine,
  6.   IN PKRUNDOWN_ROUTINE RundownRoutine OPTIONAL,
  7.   IN PKNORMAL_ROUTINE NormalRoutine OPTIONAL,
  8.   IN KPROCESSOR_MODE ApcMode,
  9.   IN PVOID NormalContext
  10. );

  我们使用该函数需要提供KAPC_ENVIRONMENT类型的参数，它的枚举如下：

  1. typedef enum _KAPC_ENVIRONMENT {
  2.   OriginalApcEnvironment,
  3.   AttachedApcEnvironment,
  4.   CurrentApcEnvironment
  5. } KAPC_ENVIRONMENT;

  这个参数指定了APC环境，换句话说，当我们插入一个APC，我们会告诉系统是应该为当前线程激活它，还是应该在线程挂靠到另一个进程之前为保存的状态（KTHREAD::SavedApcState）激活它。该参数将会在后面保存到KAPC::ApcStateIndex成员当中。

  为了更好的说明这个概念，让我们回顾如下的KiInsertQueueApc代码：

  1. // KiInsertQueueApc() excerpt:
  3. Thread = Apc->Thread;
  4. PKAPC_STATE ApcState;
  6. if (Apc->ApcStateIndex == 0 && Thread->ApcStateIndex != 0)
  7. {
  8.   ApcState = &Thread->SavedApcState;
  9. }
  10. else
  11. {
  12.   Apc->ApcStateIndex = Thread->ApcStateIndex;
  13.   ApcState = &Thread->ApcState;
  14. }

  所以本质上KAPC::ApcStateIndex是一个布尔值：

  • 非0：指示APC插入到当前线程中，话句话说，APC应该执行在当前进程的上下文环境中，也就是线程当前运行的环境。
  • 0：指示当前APC应该仅仅在源进程的环境中运行，或者在线程在进程挂靠之前的进程环境中。

  在KeStackAttachProcess函数中，有如下逻辑：

  1. // KeStackAttachProcess() excerpt:
  3. if (Thread->ApcStateIndex != 0)
  4. {
  5.   KiAttachProcess(Thread, Process, &LockHandle, ApcState);
  6. }
  7. else
  8. {
  9.   KiAttachProcess(Thread, Process, &LockHandle, &Thread->SavedApcState);
  10.   ApcState->Process = NULL;
  11. }

  也就是意味着，当我们第一次挂靠到另一个进程，打个比方：如果它的KAPC::ApcStateIndex值为0，当前的KTHREAD::ApcState存储在KTHREAD::SavedApcState当中，并且以前的ApcState不会被使用，除非设置KAPC_STATE::Process为0表示这个状态存储在KTHREAD::SavedApcState。

  但是如果我们递归式挂靠，或当一个线程已经挂靠到另一个进程时我们已经调用了KeStackAttachProcess，在那种情况下APC的状态被保存在ApcState对象中，被作为参数传递到函数当中。

  这种逻辑处理是为了让系统始终可以访问线程的原始APC状态。这可以用于将APC插入原始线程，或通过调用KeUnstackDetachProcess将线程脱离原进程。

APC 的类型

  APC有两个基础类型：内核APC和用户APC。内核APC给予了开发者更多便利来处理APC排列和处理（我们在本篇博文已讨论过用户APC）。内核APC不向用户层开发者们开放能够直接访问的权限。

  KAPC_STATE::ApcListHead里面包含了两个链表用来存放内核APC和用户APC。这两个链表分别有APC排队等待线程处理：

  1. typedef enum _MODE {
  2.   KernelMode = 0x0,
  3.   UserMode = 0x1,
  4.   MaximumMode = 0x2
  5. }MODE;

  内核使用这些列表来维护每种类型的APC的状态。当APC排队或调用KeInsertQueueApc处理时，KAPC::ApcMode用作KAPC_STATE::ApcListHead的索引：

  1. NTSTATUS NtQueueApcThread(
  2.   IN HANDLE Thread,
  3.   IN PKNORMAL_ROUTINE NormalRoutine,
  4.   IN PVOID NormalContext,
  5.   IN PVOID SystemArgument1,
  6.   IN PVOID SystemArgument2
  7. );

内核 APC 的使用内存的易错点

  许多内核开发新手犯了一个错误：为内核模式APC指定了错误的内存类型。认识到这一点很重要，以防止各种意外的蓝屏死机（BSOD）。

  这是一定要记住经验，KAPC结构体只能使用从非分页内存分配的内存（或者从类似NonPagedPool*类型分配）。即使在PASSIVE_LEVEL的IRQL初始化并插入APC，这也是没问题的。

  为什么要有这样的内存类型限制呢？其他一些APC也可以插入到运行在更高调度级别IRQL的同一线程中。在插入双链接APC列表期间，系统将尝试访问列表中已经存在的其他KAPC结构。因此，如果其中任何一个使用的是从分页内存分配的内存，你将会从DISPATCH_LEVEL间接访问分页内存，这也是一种会导致蓝屏保护原因。

  比较棘手的是，我在描述如上的情况非常少见，在开发和测试阶段可能不会出现。这将很难在生产代码中进行诊断，正如我在上面解释的，可能过一段时间之后，会在你无法控制的环境中发生蓝屏。

中断和阻塞内核 APC

  关于内核模式APC，需要记住的重要一点是，它通过中断实现，这意味着它可以发生在代码中的任意两个CPU指令之间。

  内核开发允许我们阻止APC的执行。只有在代码的某些特殊部分起作用：将IRQL提升到APC_LEVEL或更高级别或将写的代码放在KeEnterCriticalRegion和KeLeaveCriticalRegion的调用之间。（请注意，这些函数不会阻止所谓的特殊内核APC的执行，只有提高IRQL级别才能阻止这些APC的执行）。

  关于我在上面展示的IRQL条件限制，一个有趣的事实是，如果APC到达关键区域，它不会丢失，稍后将在以下任一函数中处理：KeLeaveGuardedRegion、 KeLeaveCriticalRegion、KeLowerIrql或者在临界区的结尾。

RundownRoutine 细节

  如果我再次引用这篇博文：

简单点说，任何一种APC都可以定义一个有效的 RundownRoutine 。此例程必须驻留在内核内存中，并且仅在系统需要丢弃 APC 队列的内容时（例如线程退出时）调用。在这种情况下，既不执行 KernelRoutine ，也不执行 NormalRoutine ，只执行 RundownRoutine。没有此类例程的 APC 将被释放。

——《伸入 NT 内核的异步过程调用内幕》

  还有几点可以补充：

  • RundownRoutine 回调仅在线程退出且挂起的 APC 仍在排队时调用（对于用户 APC 这种情况很可能会发生），但它不会以其他方式被调用。
  • 如果 RundownRoutine 的值为 NULL ，内核只调用ExFreeProol（Apc），这是在该博文的“没有此类例程的 APC 将被释放”中假设的。当然，如果程序员通过调用ExAllocatePool(NonPagedPool，sizeof(KAPC))来分配内存，并且之后不涉及额外的分配，那么我们可以依靠系统来为我们释放分配的内存。但是，如果KAPC的分配方式不同，或KAPC的地址与所分配内存的起始地址不匹配，或者由于其他原因，则必须在RunDownRoute回调重载中释放所有分配的内存。

APC 和驱动卸载的细微差别

  在调用内核APC回调例程时，有一个微妙的时刻。例如，必须始终提供内核例程（KernelRoutine）回调。因此当驱动程序的APC回调仍在运行时，自己可能无法从内存中卸载，这将一定会导致蓝屏。

有一种方式可以很容易地复现因正在卸载的驱动程序绑定到挂起的 APC 而导致导致的蓝屏。在某个线程上设置一个断点，并将一个 APC 排入队列。强制驱动程序卸载，然后恢复线程，并通过调用 NtTestAlert 执行 APC ，保证一定会蓝屏。

  理想情况下，APC的系统实现应如下所示：

  • 必须在KAPC中有对DriverObject的引用，在插入APC之前，KeInsertQueueApc函数应该已经完成了ObfReferenceObject(Apc->DriverObject)（此外，如果KeInsertQueueApc失败，也可以在内部调用ObfDereferenceObject(Apc->DriverObject)），通过这些步骤，当有正在排队的APC时，驱动程序将不会被卸载。
  • 那么，在最后调用KernelRoutine/ NormalRoutine/RundownRoutine之前，系统应该已经将DriverObject = Apc->DriverObject读入本地堆栈，调用适当的Apc回调，然后调用ObfDereferenceObject(DriverObject)，因为回调返回后Apc本身将无效。
  • 此外，如果RundownRoutine是无条件调用的，而不是现在的调用方式，也会非常有用。

  有了我上面提出的建议，内核模式APC回调例程的编码将简单得多。但不幸的是，这些回调的调用没有正确编码。

顺便说一句，WorkItem 对象已经实现了这种功能，请参阅 IoInitializeWorkItem 函数说明。我们向它传递一个指向 DriverObject 或设备对象的指针，它将把我们的驱动程序保存在内存中，并且在 WorkItem 仍处于活动状态时不会让它卸载。换句话说，当我们添加一个 WorkItem 对象，系统会为我们调用 ObfReferenceObject ，然后当调用我们的最终回调时，系统会调用 ObfDereferenceObject ，这是实现它的正确方法。

  那么，正确设置内核APC回调的解决方法是什么呢？

  显然，我们可以在初始化过程中从驱动程序本身调用ObfReferenceObject。但是，在对象的生命周期结束时，我们如何从对象内部调用ObfDereferenceObject呢？如果我们这样做，并且执行从ObfDereferenceObject函数返回，我们将遇到下面的情况：我们正在运行的驱动程序代码已经被卸载，这又会导致蓝屏。

  我对这个问题的解决方案是使用汇编语言，并使用JMP指令调用ObfDereferenceObject函数，而不是像大多数编译器那样使用常规的调用指令。通过使用JMP指令，我们可以保证执行不会返回到正在卸载的代码。不幸的是，这种解决方案目前不能通过C或C++语言来实现。

  查看此 [汇编代码] 以获取实现示例，或者查看我的 GitHub 以获取完整示例。

案例研究 - 早期注入 Kernel32.dll 的陷阱

这是我在为一家防病毒公司做自由职业时帮助解决的实际案例（应该保持匿名)。

  假设一家防病毒公司想要将他们自己的DLL注入所有正在运行的进程中。此外，他们很早就想在他们的DLL中运行代码，甚至在其他加载的DLL有机会收到DLL_PROCESS_ATTACH通知之前。

  这对他们来说效果很好，除非系统上还安装了一个竞争产品，如果这样的话一切都崩了。

  他们后来发现另一个反病毒软件在加载kernel32.dll时插入了一个APC，这使得他们注入的DLL更早地加载，他们无法弄清楚导致崩溃的原因。

  这个难题的答案是了解我在这里描述的早期 DLL 加载过程。当我们的反病毒公司的自定义DLL在kernel32.dll之前被注入和加载时，该DLL不应该对除本机ntdll.dll之外的任何其他DLL有任何依赖（直接或间接通过其他模块中的依赖）。情况并非如此，这就是导致崩溃的原因。

  如果一个驱动程序，就像我在这里展示的那样，调用一个用户模式的APC回调，这反过来又在一些自定义DLL上调用LoadLibrary，并且如果在kernel32.dll有机会加载自身之前调用了这样的回调，那么调用LoadLibrary将尝试导入 ntdll.dll，而导入尚未设置。因此，从kernel32.dll中对ntdll.dll中任何函数的第一次导入调用将使进程崩溃。

  作为反病毒公司的一种解决方法，他们需要以不同的方式编写注入器。APC不是最好的解决方案，因为我上面描述的限制，并且因为他们的DLL应该被加载到系统中的每个模块中。

如果我们使用 APC 回调，我们必须准备好我们的回调可以在我们排队之后随时被调用。 但是，如果我们从回调中调用 LoadLibrary[Ex] 类型的函数，该函数本身是从 kernel32.dll 导入的，我们就违反了该规则，因为该库可能尚未在我们的进程中初始化。

  在这种情况下，特制的shellcode可能是更好的方法，它将使用本机函数加载DLL，例如ntdll!LdrLoadDll：

  1. NTSTATUS LdrLoadDll(
  2.   IN PCWSTR SearchPaths,
  3.   IN PULONG pFlags,
  4.   IN PCUNICODE_STRING DllName,
  5.   OUT HMODULE* pDllBase
  6. );

  此外，此类自定义DLL本身必须仅具有来自ntdll.dll的静态导入，或者使用来自kernel32.dll的延迟加载导入。 此类DLL不能使用任何C运行时库 (CRT) 和许多C++构造器，因为它们（即使是静态链接）会给kernel32.dll和其他库带来隐式导入。

来自内核的用户 APC

  对于用户模式APC，情况在以下方面有所不同：

  • 它不能在任何两条CPU指令之间执行，或者换句话说，它不是通过CPU中断传递的。
  • 它必须在3环代码或用户模式上下文中运行。
  • 它仅在线程处于警报状态时执行特定的可等待Windows函数后运行。

  为了实现这一点，内核和本机子系统的编码方式是在CPU离开系统调用时执行用户模式​​APC。许多Windows函数（或WinAPI）需要调用内核，这是通过sysenter这个CPU指令传递的。在执行时，CPU首先进入负责路由系统调用的Windows内核部分，称为系统服务调度程序。然后根据EAX寄存器中提供的系统函数索引处理系统调用本身。只有在那之后，但在离开内核空间之前，系统服务调度程序检查用户模式​​APC的存在并调整内核堆栈上的KTRAP_FRAME以稍后处理用户模式​​APC。

  检查是否存在用户模式​​APC在内核中的nt!KiDeliverApc函数中完成。简而言之，在处理线程的内核模式APC之后，它检查KTHREAD::PreviousMode == UserMode和KTHREAD.SpecialApcDisable是否未设置。如果是，则检查KTHREAD.ApcState.UserApcPending是否不为零，表示用户模式​​APC的存在。然后它调用nt!KiInitializeUserApc修改用户模式上下文从系统调用返回以处理用户模式​​APC。

  为此，在调整KTRAP_FRAME以执行返回到本机子系统中的特殊ntdll!KiUserApcDispatcher函数之前，nt!KiInitializeUserApc会保存系统调用应该返回的原始3环上下文，之后再由nt!KiInitializeUserApc返回。

  只是稍后由它返回，在执行sysexit的CPU指令时，由于修改了KTRAP_FRAME上下文，CPU返回到3环中的ntdll!KiUserApcDispatcher函数。该函数依次处理单个用户模式​​APC，然后调用ntdll!NtContinue(context, TRUE)将执行返回给内核。我上面描述的循环一直持续到线程队列中没有更多的用户模式​​APC。

用户模式 APC 的实现

  我需要指出用户模式​​APC的一些特殊点：

  • 尽管CPU可以在中断后的任意两条指令之间的任何时刻进入内核模式，但此时不会调用用户模式​​APC回调。用户模式​​APC只能在执行特殊的Windows API调用后才能调用，正如我在此处所描述的。
  • 假设任何需要sysenter的Windows API都可用于在返回时处理用户模式​​APC，前提是某些内核代码为线程设置了KTHREAD.ApcState.UserApcPending，并且用户模式​​APC在调用之前排队。
  • 设置KTHREAD.ApcState.UserApcPending是MSDN称为线程的警报状态。这是一个有点令人困惑的术语。
  • 哪些API可以设置KTHREAD.ApcState.UserApcPending标志？显然，以下记录的函数可以做到这一点：SleepEx、SignalObjectAndWait、MsgWaitForMultipleObjectsEx、WaitForMultipleObjectsEx或WaitForSingleObjectEx。但也有这些未记录的函数也可以做到这一点：

    • ntdll!NtTestAlert：没有输入参数。似乎它的唯一功能是准备所有排队的用户模式​​APC。它在内部调用nt!KiInitializeUserApc本身，我在这里描述：

      1. NTSTATUS NtTestAlert();

    • ntdll!NtContinue：它将执行返回给内核以继续处理（就像我在此处描述的那样），然后将执行传递给提供的用户模式ThreadContext，同时如果设置了RaiseAlert，则可以选择设置KTHREAD.ApcState.UserApcPending：

      1. NTSTATUS NtContinue(
      2.   IN PCONTEXT ThreadContext,
      3.   IN BOOLEAN RaiseAlert
      4.   );

“特殊”的用户 APC

  KAPC_STATE结构中还有一个新成员，称为SpecialUserApcPending。除了真正的Windows 内部探索者中的一些点点滴滴之外，对此知之甚少：

自从 APC 被弄乱以来已经有一段时间了。 RS5 现在添加了“特殊用户 APC”（KTHREAD->SpecialUserApcPending），可以使用 NtQueueApcThreadEx 作为保留句柄传入 1 来排队。 这些与 Mode == KernelMode 一起用一个强制线程信号进行传递。这是一个巨大的变化。

—— Alex Ionescu

Windows XP 中漏洞百出的用户模式 APC 实现

此信息仅适用于 Windows XP 和更早系统上的旧版。

  如果我们查阅QueueUserAPC函数的文档，我们可以看到以下关于APC的部分：

如果应用程序在线程开始运行之前对 APC 进行排队，则线程通过调用 APC 函数开始......

—— MSDN

  在Windows Vista之前，当一个线程开始运行时（从内核这发生在调用KiStartUserThread和PspUserThreadStartup之后），内核会将一个用户模式APC排队，并将回调设置为ntdll!LdrInitializeThunk。但这意味着在用户模式下，线程将从特殊的后System-Service-Dispatcher函数ntdll!KiUserApcDispatcher开始运行（正如我在此处描述的），而不是从预期的ntdll!LdrInitializeThunk开始运行。

  在这种情况下的问题是，如果我们自己将APC添加到该线程中，它可能在ntdll!LdrInitializeThunk之前开始运行，因此我们将收到尚未初始化的线程上下文。这可能会导致一些间歇性崩溃和令人讨厌的计时错误。

  当时的解决方案是调用GetThreadContext来保证线程上下文在返回之前被初始化。只有在那之后，才可以安全地将APC排队：

  1. //WARNING: Deprecated code - do not use!
  2. HANDLE hThread = CreateThread(NULL, 0, ThreadProc, 0, CREATE_SUSPENDED, NULL);
  3. if (hThread)
  4. {
  5.   CONTEXT ctx;
  6.   GetThreadContext(hThread, &ctx);    //XP bug workaround
  8.   //Now it's safe to queue APC
  9.   QueueUserAPC(Papcfunc, hThread, 0);
  11.   //Because thread is originally suspended, this will ensure that our APC callback
  12.   //in 'Papcfunc' is executed before 'ThreadProc'
  13.   ResumeThread(hThread);
  15.   CloseHandle(hThread);
  16. }

GetThreadContext 能够解决该计时错误的原因是检索线程上下文的方式。 它是通过将一个特殊的内核模式 APC 排队到目标线程中来完成的，回调函数收集其上下文，然后设置一个由被调用线程等待的事件，称为 GetThreadContext，当内部事件发生时读取上下文时进行设置。

错综复杂的用户模式 APC 实现 DLL 注入

  有一种技术可以将DLL注入到我们自己启动的进程中。它是这样工作的：

  • 创建一个最初挂起的进程（带有CREATE_SUSPENDED标志的CreateProcess）我们只需要它的初始线程。
  • 将APC添加到该线程(QueueUserAPC)中，并将回调设置为LoadLibrary函数并恢复它(ResumeThread)。
  • 我们的APC回调或对LoadLibrary的调用保证在目标进程中在其入口点代码之前被调用。

  但是我们的APC回调什么时候会被调用呢？从技术上讲，这应该发生在进程中的入口点代码有机会运行之前，在ntdll!LdrInitializeThunk函数调用的出口处（当其中的代码调用NtTestAlert时）。所以我们可以保证APC回调不会比那晚。但是有什么办法可以提前调用吗？

  如果在创建过程中加载到进程中的DLL有一个调用其DLL_PROCESS_ATTACH处理程序中的一个可警报等待函数（alertable wait functions），那该怎么办呢？这对于Windows系统DLL来说是极不可能的，但对于也加载到进程中的自定义DLL仍然这就是可能的。最起码这种情况会导致我们的APC回调被提前调用。

  但实际上，谁在乎我们是否更早地调用LoadLibrary并注入我们的DLL？在大多数情况下，这无关紧要。

PsSetLoadImageNotifyRoutine 陷阱

  加载DLL时，有一种复杂的情况可能非常关键。比如说，驱动程序可能会使用PsSetLoadImageNotifyRoutine函数来拦截某些DLL的加载。为此，它会在DLL加载过程的早期将自己的APC排队。然后，驱动程序通常会通过调用KeDelayExecutionThread或使用未文档化的函数KeTestAlertThread（隐式调用）设置KAPC_STATE::UserApcPending标志，从而强制用户模式代码（在APC回调中）在正在加载的DLL中的代码有机会执行之前运行。

  这可以用下面的伪代码来说明：

下面代码的完整版本可以在我的 GitHub 上找到。

点击查看代码 
  1. #ifndef _WIN64
  2. #error Showing this for 64-bit builds only!
  3. #endif
  5. LONG gFlags;
  6. PDRIVER_OBJECT g_DriverObject;
  8. enum{
  9.   flImageNotifySet,
  10. };
  12. extern "C" NTSTATUS NTAPI DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath)
  13. {
  14.   g_DriverObject = DriverObject;
  16.   DriverObject->DriverUnload = DriverUnload;
  18.   NTSTATUS status = PsSetLoadImageNotifyRoutine(OnLoadImage);
  20.   if (0 <= status)
  21.   {
  22.     _bittestandset(&gFlags, flImageNotifySet);
  23.   }
  25.   return status;
  26. }
  28. void NTAPI DriverUnload(PDRIVER_OBJECT DriverObject)
  29. {
  30.   FreeLoadImageData();
  31. }
  33. void FreeLoadImageData()
  34. {
  35.   if (_bittestandreset(&gFlags, flImageNotifySet)) PsRemoveLoadImageNotifyRoutine(OnLoadImage);
  36. }
  38. VOID CALLBACK OnLoadImage(
  39.             IN PUNICODE_STRING FullImageName,
  40.             IN HANDLE ProcessId, // Process where image is mapped
  41.             IN PIMAGE_INFO ImageInfo
  42.             )
  43. {
  44.   STATIC_UNICODE_STRING(kernel32, "\\kernel32.dll");
  46.   if (
  47.     !ImageInfo->SystemModeImage &&
  48.     ProcessId == PsGetCurrentProcessId() &&   // section can be "remotely" mapped from another process
  49.     SuffixUnicodeString(FullImageName, &kernel32) &&
  50.     IsByLdrLoadDll(&kernel32)
  51.     )
  52.   {
  53.     BeginInject(&NATIVE_DLL::di);
  54.   }
  55. }
  57. VOID CALLBACK RundownRoutine(PKAPC );
  58. VOID CALLBACK KernelRoutine(PKAPC , PKNORMAL_ROUTINE *, PVOID * , PVOID * ,PVOID * );
  59. VOID CALLBACK NormalRoutine(PVOID , PVOID ,PVOID );
  61. void BeginInject(DLL_INFORMATION* pdi)
  62. {
  63.   PVOID Section;
  65.   if (0 <= pdi->GetSection(&Section))
  66.   {
  67.     if (PKAPC Apc = ExAllocatePool(NonPagedPool, sizeof(KAPC)))
  68.     {
  69.       KeInitializeApc(Apc, KeGetCurrentThread(), OriginalApcEnvironment,
  70.         KernelRoutine, RundownRoutine, NormalRoutine, KernelMode, Apc);
  72.       ObfReferenceObject(g_DriverObject);
  73.       ObfReferenceObject(Section);
  75.       if (!KeInsertQueueApc(Apc, Section, pdi, IO_NO_INCREMENT))
  76.       {
  77.         ObfDereferenceObject(Section);
  79.         RundownRoutine(Apc);
  80.       }
  81.     }
  82.   }
  83. }
  85. extern "C" NTSYSAPI BOOLEAN NTAPI KeTestAlertThread(IN KPROCESSOR_MODE  AlertMode);
  87. VOID CALLBACK _NormalRoutine (
  88.               PKAPC Apc,
  89.               PVOID Section,
  90.               DLL_INFORMATION* pdi
  91.               )
  92. {
  93.   PVOID BaseAddress;
  94.   NTSTATUS status = pdi->MapSection(BaseAddress);
  96.   ObfDereferenceObject(Section);
  98.   if (0 <= status)
  99.   {
  100.     union {
  101.       PVOID pvNormalRoutine;
  102.       PKNORMAL_ROUTINE NormalRoutine;
  103.     };
  105.     PVOID NormalContext = BaseAddress;
  106.     pvNormalRoutine = (PBYTE)BaseAddress + pdi->rva_1;
  108.     if (pdi == &WOW_DLL::di) PsWrapApcWow64Thread(&NormalContext, &pvNormalRoutine);
  110.     KeInitializeApc(Apc, KeGetCurrentThread(), OriginalApcEnvironment,
  111.       KernelRoutine, RundownRoutine, NormalRoutine, UserMode, NormalContext);
  113.     ObfReferenceObject(g_DriverObject);
  115.     if (KeInsertQueueApc(Apc, NtCurrentProcess(), BaseAddress, IO_NO_INCREMENT))
  116.     {
  117.       //Force user-mode APC callback
  118.       KeTestAlertThread(UserMode);
  120.       return;
  121.     }
  123.     ObfDereferenceObject(g_DriverObject);
  125.     MmUnmapViewOfSection(IoGetCurrentProcess(), BaseAddress);
  126.   }
  128.   _RundownRoutine(Apc);
  129. }
  131. VOID CALLBACK _KernelRoutine(
  132.                PKAPC Apc,
  133.                PKNORMAL_ROUTINE * /*NormalRoutine*/,
  134.                PVOID * /*NormalContext*/,
  135.                PVOID * /*SystemArgument1*/,
  136.                PVOID * /*SystemArgument2*/
  137.                )
  138. {
  139.   if (Apc->ApcMode == KernelMode)
  140.   {
  141.     //Kernel-mode APC
  142.     ObfReferenceObject(g_DriverObject);   //NormalRoutine will be called
  144.     return;
  145.   }
  147.   //User-mode APC -> free Apc object
  148.   _RundownRoutine(Apc);
  149. }
  151. VOID CALLBACK _RundownRoutine(PKAPC Apc)
  152. {
  153.   ExFreePool(Apc);
  154. }

  使用特殊的提供汇编语言代码实现：

请注意，我在汇编中编写这些函数是为了能够使用 JMP 指令安全地取消引用 KAPC 对象。在 此处 阅读更多详细信息。

  1. EXTERN g_DriverObject:QWORD
  2. EXTERN __imp_ObfDereferenceObject:QWORD
  4. EXTERN ?_RundownRoutine@NT@@YAXPEAU_KAPC@1@@Z : PROC
  5. EXTERN ?_NormalRoutine@NT@@YAXPEAU_KAPC@1@PEAXPEAUDLL_INFORMATION@1@@Z : PROC
  6. EXTERN ?_KernelRoutine@NT@@YAXPEAU_KAPC@1@PEAP6AXPEAX11@ZPEAPEAX33@Z : PROC
  8. _TEXT SEGMENT
  10. ; VOID CALLBACK RundownRoutine(PKAPC );
  11. ?RundownRoutine@NT@@YAXPEAU_KAPC@1@@Z PROC
  12.   sub    rsp,40
  13.   ;      void __cdecl NT::_RundownRoutine(struct NT::_KAPC *)
  14.   call   ?_RundownRoutine@NT@@YAXPEAU_KAPC@1@@Z
  15.   add    rsp,40
  16.   mov    rcx,g_DriverObject
  17.   jmp    __imp_ObfDereferenceObject
  18. ?RundownRoutine@NT@@YAXPEAU_KAPC@1@@Z ENDP
  20. ; VOID CALLBACK KernelRoutine(PKAPC , PKNORMAL_ROUTINE *, PVOID * , PVOID * ,PVOID * );
  21. ?KernelRoutine@NT@@YAXPEAU_KAPC@1@PEAP6AXPEAX11@ZPEAPEAX33@Z PROC
  22.   mov    rax,[rsp + 40]
  23.   mov    [rsp + 24],rax
  24.   mov    rax,[rsp]
  25.   mov    [rsp + 32],rax
  26.   push   rax
  27.   ;      void __cdecl NT::_KernelRoutine(struct NT::_KAPC *,void (__cdecl **)(void *,void *,void *),void **,void **,void **)
  28.   call   ?_KernelRoutine@NT@@YAXPEAU_KAPC@1@PEAP6AXPEAX11@ZPEAPEAX33@Z
  29.   pop    rax
  30.   mov    rax,[rsp + 32]
  31.   mov    [rsp],rax
  32.   mov    rcx,g_DriverObject
  33.   jmp    __imp_ObfDereferenceObject
  34. ?KernelRoutine@NT@@YAXPEAU_KAPC@1@PEAP6AXPEAX11@ZPEAPEAX33@Z ENDP
  36. ; VOID CALLBACK NormalRoutine(PVOID , PVOID ,PVOID );
  37. ?NormalRoutine@NT@@YAXPEAX00@Z PROC
  38.   sub    rsp,40
  39.   ;      void __cdecl NT::_NormalRoutine(struct NT::_KAPC *,void *,struct NT::DLL_INFORMATION *)
  40.   call   ?_NormalRoutine@NT@@YAXPEAU_KAPC@1@PEAXPEAUDLL_INFORMATION@1@@Z
  41.   add    rsp,40
  42.   mov    rcx,g_DriverObject
  43.   jmp    __imp_ObfDereferenceObject
  44. ?NormalRoutine@NT@@YAXPEAX00@Z ENDP
  46. _TEXT ENDS
  47. END

  你在上面看到的让人抓狂的外部变量是经过编译器处理的C++函数名称。您可以在编译源代码期间使用__FUNCDNAME__预处理器命令获取它们，方法是这样放置：

  1. int SomeFunction(WCHAR* pstr, int value)
  2. {
  3. __pragma(message("extern " __FUNCDNAME__ " : PROC ; "  __FUNCSIG__))
  4. }

  当该代码编译时，Visual Studio 中的输出窗口将包含所需的 C++ 被处理破坏的函数名称：

extern ?SomeFunction@@YAHPEA_WH@Z : PROC ; int __cdecl SomeFunction(wchar_t *,int)

  了解PsSetLoadImageNotifyRoutine回调是在调用将DLL映射到内存的ZwMapViewOfSection函数中执行的，这是十分重要的。此回调发生在该函数完成设置DLL之前，这意味着DLL已映射但尚未初始化。例如，它的导入函数尚未处理。所以换句话说，那个DLL还不能用！

作为上述陈述的结果，如果您决定使用 PsSetLoadImageNotifyRoutine 函数将您自己的模块加载到所有其他模块中，则必须遵循一条经验法则：您不能将任何其他 DLL 导入到您的模块中，除了 ntdll.dll。该 DLL 和其他任何 DLL 都保证被映射到任何用户模式进程。

ZwQueueApcThread 与 QueueUserAPC 孰优孰劣

  让我问一下，您会使用哪个函数？

  QueueUserAPC显然已或多或少被文档化了，因此使用起来应该更安全，而ZwQueueApcThread或NtQueueApcThread则没有。

对于用户模式代码，ZwQueueApcThread 和 NtQueueApcThread 函数之间没有区别。这只是你喜欢什么前缀的问题。

  在继续之前，让我们检查一下原生ZwQueueApcThread函数是如何声明的：

  1. NTSTATUS ZwQueueApcThread(
  2.   HANDLE hThread,
  3.   PKNORMAL_ROUTINE ApcRoutine,
  4.   PVOID ApcContext,
  5.   PVOID Argument1,
  6.   PVOID Argument2
  7. );

  如你所见，我们有机会使用本机函数传递3个自定义参数，而不是单个自定义参数或QueueUserAPC中的dwData。确实，对于原生函数来说，这稍微简化了一些事情，但只要我们可以传递一个指针，我们就可以传递任意数量的参数。所以QueueUserAPC没什么大不了的，对吧？

  好吧，正如我们将在下面看到的，区别实际上在于QueueUserAPC使用的激活上下文。这不仅仅是差异，而且实际上是一个错误。

激活上下文句柄错误

  QueueUserAPC函数的文档中根本没有提到用户模式APC处理激活上下文的方式。相反，这里只是简单地涉及了一下：

异步过程调用、完成端口回调和其他线程上的任何其他回调会自动获取源的激活上下文。

—— MSDN

  您可以从QueueUserAPC的实现中了解这意味着什么。在我的Windows 10上大致如此：

点击查看代码 
  1. typedef struct _ACTIVATION_CONTEXT_BASIC_INFORMATION {
  2.   HANDLE  hActCtx;
  3.   DWORD   dwFlags;
  4. } ACTIVATION_CONTEXT_BASIC_INFORMATION, *PACTIVATION_CONTEXT_BASIC_INFORMATION;
  6. DWORD QueueUserAPC(PAPCFUNC pfnAPC, HANDLE hThread, ULONG_PTR dwData)
  7. {
  8.   ACTIVATION_CONTEXT_BASIC_INFORMATION ContextInfo = {};
  10.   NTSTATUS status = RtlQueryInformationActivationContext(
  11.             1,    //RTL_QUERY_ACTIVATION_CONTEXT_FLAG_USE_ACTIVE_ACTIVATION_CONTEXT,
  12.             NULL,
  13.             NULL,
  14.             1,    //ActivationContextBasicInformation,
  15.             &ContextInfo,
  16.             sizeof(ContextInfo),
  17.             NULL);
  18.   if(FAILED(status))
  19.   {
  20.     BaseSetLastNTError(status);
  21.     return FALSE;
  22.   }
  24.   status = ZwQueueApcThread(hThread, RtlDispatchAPC, pfnAPC, dwData,
  25.         !(ContextInfo.dwFlags & 1) ? ContextInfo.hActCtx : INVALID_HANDLE_VALUE);
  26.   if(FAILED(status))
  27.   {
  28.     BaseSetLastNTError(status);
  29.     return FALSE;
  30.   }
  32.   return TRUE;
  33. }
  35. typedef struct _RTL_ACTIVATION_CONTEXT_STACK_FRAME
  36. {
  37.   PRTL_ACTIVATION_CONTEXT_STACK_FRAME Previous;
  38.   _ACTIVATION_CONTEXT * ActivationContext;
  39.   ULONG Flags;
  40. } RTL_ACTIVATION_CONTEXT_STACK_FRAME, *PRTL_ACTIVATION_CONTEXT_STACK_FRAME;
  42. typedef struct _RTL_CALLER_ALLOCATED_ACTIVATION_CONTEXT_STACK_FRAME_EXTENDED
  43. {
  44.   SIZE_T Size;
  45.   ULONG Format;
  46.   RTL_ACTIVATION_CONTEXT_STACK_FRAME Frame;
  47.   PVOID Extra1;
  48.   PVOID Extra2;
  49.   PVOID Extra3;
  50.   PVOID Extra4;
  51. } RTL_CALLER_ALLOCATED_ACTIVATION_CONTEXT_STACK_FRAME_EXTENDED,
  52.  *PRTL_CALLER_ALLOCATED_ACTIVATION_CONTEXT_STACK_FRAME_EXTENDED;
  54. void RtlDispatchAPC(PAPCFUNC pfnAPC, ULONG_PTR dwData, HANDLE hActCtx)
  55. {
  56.   RTL_CALLER_ALLOCATED_ACTIVATION_CONTEXT_STACK_FRAME_EXTENDED ActEx = {};
  57.   ActEx.Size = sizeof(ActEx);
  58.   ActEx.Format = 1;
  60.   if(hActCtx != INVALID_HANDLE_VALUE)
  61.   {
  62.     RtlActivateActivationContextUnsafeFast(&ActEx, hActCtx);
  64.     pfnAPC(dwData);
  66.     RtlDeactivateActivationContextUnsafeFast(&ActEx);
  67.     RtlReleaseActivationContext(hActCtx);
  68.   }
  69.   else
  70.     pfnAPC(dwData);
  71. }

  如你所见，它们获取当前激活上下文（添加了对其的引用），然后调用ZwQueueApcThread以使用指向ntdll!RtlDispatchAPC的回调函数对APC进行排队。在其中，它们传递由用户指定的原始回调函数，以及用于调用QueueUserAPC的用户提供的参数，最后是激活上下文的句柄。

顺便说一下，这是 QueueUserAPC 中所有 3 个参数都用完的地方。 所以用户在可用的 3 个参数中只剩下 1 个参数。

  在APC回调中，ntdll!RtlDispatchAPC实现激活上下文，使用参数调用用户提供的回调，然后停用并释放它。

  需要注意的重要一点以及错误所在的地方是激活上下文“句柄”并不是真正的句柄。它只是指向某些内部数据结构的指针。如果我们对RtlReleaseActivationContext函数中的代码进行逆向工程，就更容易理解了：

  1.   ; RtlReleaseActivationContext function
  2.   ; rcx = activation context handle
  4.   test    rcx, rcx
  5.   jnz     @@1
  6.   retn
  7. @@1:
  8.   mov     [rsp+0x8], rbx
  9.   push    rdi
  10.   sub     rsp, 20h
  11.   lea     rax, [rcx-1]
  12.   mov     rbx, rcx
  13.   or      rax, 7
  14.   cmp     rax, 0FFFFFFFFFFFFFFFFh
  15.   jz      @@exit
  16.   mov     eax, [rcx]      ; potential crash
  17.   mov     ecx, 1
  18.   sub     eax, ecx
  19.   cmp     eax, 7FFFFFFDh
  20.   ja      @@exit
  21.   mov     eax, [rbx]
  22.   lea     edi, [rax-1]
  23.   lock cmpxchg [rbx], edi   ; potential overwrite of memory
  24.   ; ....

  如你所见，RtlReleaseActivationContext只需要一个输入参数，即激活上下文句柄，它在rcx寄存器中传递。但是稍后在汇编代码中使用了它。此函数快速检查它是否为0，如果是则退出。然后除了低3位，它对句柄位是否全为1进行再一次基本检查。如果是，它也退出。

  但这留下了绝大多数非零激活上下文“句柄”值被允许传递给mov eax, [rcx]指令，该指令仅将其视为内存中的地址。此外，lock cmpxchg [rbx], edi指令可以稍后开始写入该地址。

真正的句柄是对字典的索引或内核内存中句柄表中对象的映射。它不应该仅用作指针，特别是如果这样的句柄可以在进程之间传递！

  当在同一进程中使用时，激活上下文“句柄”的这种处理不会造成问题。但是，如果我们使用QueueUserAPC在另一个进程中对APC进行排队呢？那么他们对“句柄”/指针的使用仅意味着：

  但这样的崩溃不会是最糟糕的事情。考虑激活上下文“句柄”是否指向目标进程中的有效内存。那时会发生什么？例如，RtlReleaseActivationContext将覆盖该进程中的一些可写内存，这不仅会导致未定义的行为（UB，undefined behavior），而且之后也很难诊断和调试。

  那么为什么这个错误没有引起很多骚动呢？激活上下文毕竟不是一个新概念。

  原因是通常不存在进程的激活上下文。因此，使用ActivationContextBasicInformation调用RtlQueryInformationActivationContext或其记录的等效GetCurrentActCtx将返回NULL作为激活上下文“句柄”。Microsoft的回调函数可以优雅地处理NULL。

  当模块具有激活上下文时，问题就会发生。例如，在DllMain中，如果模块本身具有带有ISOLATIONAWARE_MANIFEST_RESOURCE_ID标识符的清单。但这非常罕见，因此，我猜，这个问题无人关注。

严谨的 APC 文档

  让我们查看有关我在此处解释的激活上下文“句柄”错误的MSDN文档：

注意：出于多种原因，不建议将 APC 排队到调用者进程之外的线程。 ...

—— QueueUserAPC 函数

  真的吗？那是因为你有一个实现错误。那么为什么不直接写，激活上下文“句柄”不能在另一个进程中使用呢？或者更好的是，它可能会导致崩溃、未定义的行为和损坏的内存。

  但理想情况下，QueueUserAPC函数应该有一个单独的参数，或者可能是一个新函数QueueUserAPCEx，它应该告诉它是否完全使用激活上下文。而且，他们还应该在技术上修改QueueUserAPC的当前实现，如果hThread输入句柄指向不同进程中的线程，则在内部将激活上下文的NULL传递给APC回调函数。

  然后是这个：

...类似地，如果 64 位进程将 APC 排队到 32 位进程，反之亦然，地址将不正确，应用程序将崩溃。

—— QueueUserAPC 函数

  同样，他们并没有说出全部真相。

  你不能将32位APC回调排队到64位进程中。但是您可以将64位APC回调排队到32位进程中。为此，需要使用另一个鲜为人知且未记录的本机函数RtlQueueApcWow64Thread而不是ZwQueueApcThread，它在32位WOW64进程中将64位APC回调排队：

  1. NTSTATUS RtlQueueApcWow64Thread (
  2.   HANDLE hThread,
  3.   PKNORMAL_ROUTINE ApcRoutine,
  4.   PVOID ApcContext,
  5.   PVOID Argument1,
  6.   PVOID Argument2
  7. );

  或者，从内核模式而不是调用需要调用PsWrapApcWow64Thread函数的KeInsertQueueApc：

  1. NTSTATUS PsWrapApcWow64Thread (
  2.   _Inout_ PVOID *ApcContext,
  3.   _Inout_ PVOID *ApcRoutine
  4. );

  但是为什么有人需要将64位APC排队到32位进程中呢？我们稍后会回来再研究它。

用户 APC 演示代码

  为了说明我上面解释的用户模式APC的概念和缺陷，我们编写了一个小示例代码：

点击查看代码 
  1.   {
  2.     //Check that we don't have an activation context yet
  3.     QueryCtx();
  5.     //Set our activation context for this process
  6.     ULONG_PTR dwCookie;
  7.     if (ActivateActCtx(hActCtx, &dwCookie))
  8.     {
  9.       //Check that we have an activation context now
  10.       QueryCtx();
  12.       //Queue APC in this process on this thread
  13.       QueueUserAPC(OnApc, GetCurrentThread(), 0);
  15.       //Make APC callback execute now
  16.       ZwTestAlert();    //same as: SleepEx(0, TRUE);
  18.       //Queue APC in a remote process (using native API)
  19.       //It will succeed
  20.       TestAPC_InRemoteProcess(true);
  22.       //Queue APC in a remote process (using Win32 API)
  23.       //It will crash the remote process!
  24.       TestAPC_InRemoteProcess(false);
  26.       DeactivateActCtx(0, dwCookie);
  27.     }
  29.     ReleaseActCtx(hActCtx);
  30.   }
  32.   return 0;
  33. }
  35. void TestAPC_InRemoteProcess(bool bUseNativeApi)
  36. {
  37.   //Invoke a user-mode APC callback in a remote process
  39.   //Get path to cmd.exe
  40.   WCHAR appname[MAX_PATH];
  41.   if (GetEnvironmentVariableW(L"comspec", appname, _countof(appname)))
  42.   {
  43.     PROCESS_INFORMATION pi;
  44.     STARTUPINFO si = { sizeof(si) };
  46.     //Run cmd.exe suspended
  47.     if (CreateProcessW(appname, 0, 0, 0, 0, CREATE_SUSPENDED, 0, 0, &si, &pi))
  48.     {
  49.       //Invoke APC in cmd.exe, using either a native or documented Win32 function
  50.       //We don't care about the callback function itself, for as long as it can
  51.       //handle our input parameters. Thus I will use LPVOID TlsGetValue(DWORD)
  52.       bUseNativeApi
  53.         ? ZwQueueApcThread(pi.hThread, (PKNORMAL_ROUTINE)TlsGetValue, 0, 0, 0)
  54.         : QueueUserAPC((PAPCFUNC)TlsGetValue, pi.hThread, 0);
  56.       //Resume thread to let APC execute
  57.       ResumeThread(pi.hThread);
  59.       CloseHandle(pi.hThread);
  60.       CloseHandle(pi.hProcess);
  61.     }
  62.   }
  63. }
  65. void QueryCtx()
  66. {
  67.   //Query activation context in this process and output it into (debugger) console
  68.   SIZE_T cb = 0;
  69.   ACTIVATION_CONTEXT_RUN_LEVEL_INFORMATION acrli;
  70.   union {
  71.     PVOID buf;
  72.     PACTIVATION_CONTEXT_ASSEMBLY_DETAILED_INFORMATION pacadi;
  73.   };
  74.   buf = 0;
  75.   ACTIVATION_CONTEXT_QUERY_INDEX QueryIndex = { 1, 0 };
  77. __again:
  78.   switch (QueryActCtxW(QUERY_ACTCTX_FLAG_USE_ACTIVE_ACTCTX, 0, &QueryIndex,
  79.     AssemblyDetailedInformationInActivationContext, buf, cb, &cb) ? NOERROR : GetLastError())
  80.   {
  81.   case ERROR_INSUFFICIENT_BUFFER:
  82.     buf = alloca(cb);
  83.     goto __again;
  84.     break;
  85.   case NOERROR:
  86.     if (buf)
  87.     {
  88.       DbgPrint("==========\nPID=%u: %S\n%S\n",
  89.         GetCurrentProcessId(),
  90.         pacadi->lpAssemblyManifestPath,
  91.         pacadi->lpAssemblyEncodedAssemblyIdentity);
  92.     }
  93.     break;
  94.   }
  96.   if (QueryActCtxW(QUERY_ACTCTX_FLAG_USE_ACTIVE_ACTCTX, 0, 0,
  97.     RunlevelInformationInActivationContext, &acrli, sizeof(acrli), &cb))
  98.   {
  99.     DbgPrint("PID=%u: RunLevel = %x\n", GetCurrentProcessId(), acrli.RunLevel);
  100.   }
  101. }
  103. VOID NTAPI OnApc(
  104.   _In_ ULONG_PTR /*Parameter*/
  105. )
  106. {
  107.   //User-mode APC callback
  108.   QueryCtx();
  109. }

  要在没有WDK的情况下在Visual Studio中编译此代码示例，您将需要以下声明：

  1. #pragma comment(lib, "ntdll.lib")   //For native function calls
  3. typedef
  4. VOID
  5. KNORMAL_ROUTINE(
  6.   __in_opt PVOID NormalContext,
  7.   __in_opt PVOID SystemArgument1,
  8.   __in_opt PVOID SystemArgument2
  9. );
  10. typedef KNORMAL_ROUTINE* PKNORMAL_ROUTINE;
  12. extern "C" {
  13.   __declspec(dllimport) NTSTATUS CALLBACK ZwQueueApcThread(HANDLE hThread,
  14.     PKNORMAL_ROUTINE ApcRoutine,
  15.     PVOID ApcContext,
  16.     PVOID Argument1,
  17.     PVOID Argument2);
  19.   __declspec(dllimport) NTSTATUS CALLBACK ZwTestAlert();
  21.   __declspec(dllimport) ULONG CALLBACK
  22.     DbgPrint(
  23.       _In_z_ _Printf_format_string_ PCSTR Format,
  24.       ...
  25.     );
  26. }

32 位进程中的 64 位用户 APC

  将64位用户模式APC排队到32位进程中的一个原因是将DLL注入其中。但这不是唯一的用途。

  比如说，如果您需要知道加载到进程中的模块列表怎么办？

  为您自己的流程执行此操作的一种方法是调用未记录的LdrQueryProcessModuleInformation函数。它将在提供的内存缓冲区中写入完整列表：

  1. NTSTATUS LdrQueryProcessModuleInformation
  2. (
  3.   PRTL_PROCESS_MODULES psmi,
  4.   ULONG BufferSize,
  5.   PULONG RealSize
  6. );

  但是，对于远程进程中的模块，您如何调用它？这也可能具有不同的位数。

  让我给你一些步骤：

  1. 我们需要创建一个部分(NtCreateSection)，我们将使用它来收集和传递有关目标进程中的模块的信息（在Win32用语中，它称为文件映射对象。）

  2. 将该部分映射到目标进程（ZwMapViewOfSection）中进行写入。

  3. 在目标进程中创建挂起状态的线程，并将其入口点的地址设置为RtlExitUserThread。我们并不真正需要线程函数本身，因此我们将分流它以尽快退出。

    在这种情况下，重要的是使用本机函数 RtlCreateUserThread 来启动线程，而不是文档中的 CreateRemoteThread。这需要确保我们可以控制线程入口点的位数。这是在 CreateRemoteThread 不允许的，因为它使用的实际入口点是 kernel32!BaseThreadInitThunk 而不是我们在其 lpStartAddress 参数中提供给它的函数。

    要定义线程将在哪个上下文中启动：64位或32位，系统将使用线程入口点所在的模块的位数。（或者如果没有模块，就像在纯shellcode中一样，默认情况下线程将接收32位上下文。）

    请注意，可以在 64 位操作系统中的 32 位（所谓的 WOW64）进程中运行 64 位线程。同时也有一个 64 位版本的 ntdll.dll 模块映射到每个 32 位 WOW64 进程。

  4. 在我们挂起的线程中插入一个用户模式APC。回调的位数将取决于目标进程的位数：

    64位进程：我们只需要ZwQueueApcThread函数就可以对64位APC回调进行原生排队。这里很简单。

    32位进程：首先使用ZwQueueApcThread对64位回调进行排队，以检索所有映射的64位模块。（正如我上面所说，任何32位WOW64进程都将至少加载一个64位模块。）然后使用RtlQueueApcWow64Thread将32位APC回调排队。

    我们将使用LdrQueryProcessModuleInformation函数作为适当位数的APC的回调。对我们来说非常方便，它有3个输入参数，与ZwQueueApcThread和RtlQueueApcWow64Thread函数的自定义参数相匹配。这也是我们选择那些原生函数而不是已经被文档化的QueueUserAPC的另一个原因。

  5. 恢复线程，它将在目标进程中运行我们排队的APC。由于我们将其回调设置为LdrQueryProcessModuleInformation，因此该函数将使用有关目标进程中模块的所需信息填充映射部分的内存。

  6. 线程本身将运行将终止它的RtlExitUserThread函数。（与Create[Remote]Thread不同，它将在线程返回时将控制权传递给内部包装函数）

  7. 在我们自己的进程中，我们只是等待远程线程完成运行。

  8. 然后我们可以从目标进程中取消映射该部分，并将其映射到我们自己的进程中并读取我们收集的模块信息。

  9. 销毁该部分并进行其他清理。

    在较旧的（32 位）Microsoft Word进程上运行上述算法后，我们可以获得其加载模块的列表：

获取进程模块的代码示例

  为了更好地说明此处概述的概念，让我给您以下代码示例，它将检索映射到任意进程的模块：

注意：下面是一个未优化的代码，旨在提高读者的可读性。 我们使用 goto 语句对其进行格式化只是为了防止需要水平滚动。 请参阅评论以获取更多详细信息。

  1. NTSTATUS ListModulesForProc(DWORD dwPID)
  2. {
  3.   //'dwPID' = process ID of the process to retrieve modules for
  4.   NTSTATUS status = S_FALSE;
  6.   HANDLE hProcess = NULL;
  7.   LARGE_INTEGER liSectionSize = {};
  8.   SIZE_T ViewSize = 0;
  9.   NTDLL_FN_PTRS nfp = {};
  10.   ULONG_PTR wow = 0;
  12. #ifndef _WIN64
  13. #error Must be compiled as x64 only!
  14. #endif
  16.   hProcess = OpenProcess(PROCESS_VM_OPERATION | PROCESS_CREATE_THREAD | PROCESS_QUERY_INFORMATION, FALSE, dwPID);
  17.   if (!hProcess)
  18.   {
  19.     status = GetLastError();
  20.     goto cleanup;
  21.   }
  23.   //Collect 64-bit modules
  24.   nfp.pRtlExitUserThread.pstrName = "RtlExitUserThread";
  25.   nfp.pRtlExitUserThread.pfn = (FARPROC)RtlExitUserThread;
  26.   nfp.pLdrQueryProcessModuleInformation.pstrName = "LdrQueryProcessModuleInformation";
  27.   nfp.pLdrQueryProcessModuleInformation.pfn = (FARPROC)LdrQueryProcessModuleInformation;
  29.   status = CollectModules(hProcess, TRUE, &nfp);
  30.   if (FAILED(status))
  31.     goto cleanup;
  33.   //Get process bitness
  34.   status = NtQueryInformationProcess(hProcess, ProcessWow64Information, &wow, sizeof(wow), NULL);
  35.   if (FAILED(status))
  36.     goto cleanup;
  38.   if (wow)
  39.   {
  40.     //Collect 32-bit modules
  41.     status = ResolveNtDllFuncs32bit(&nfp);
  42.     if (FAILED(status))
  43.       goto cleanup;
  45.     status = CollectModules(hProcess, FALSE, &nfp);
  46.     if (FAILED(status))
  47.       goto cleanup;
  48.   }
  49.   else
  50.     status = STATUS_SUCCESS;
  52. cleanup:
  53.   //Clean-up process
  55.   if(hProcess)
  56.     CloseHandle(hProcess);
  58.   assert(SUCCEEDED(status));
  59.   return status;
  60. }

  将APC注入目标进程的实际功能在以下函数中实现：

点击查看代码 
  1. NTSTATUS CollectModules(HANDLE hProcess, BOOL b64bit, NTDLL_FN_PTRS* pfnPtrs)
  2. {
  3.   //INFO: It is not the most efficient way of calling this function twice with
  4.   //      repeated creation of the section and then mapping it into a process.
  5.   //      Ideally, you'd create it once and then close and re-create it ONLY if its
  6.   //      original size is too small to fit all the modules.
  7.   //
  8.   //      But, I will leave this code as-is for brevity, as such optimization
  9.   //      has nothing to do with the APC concepts that we discuss in this blog post.
  11.   NTSTATUS status;
  13.   HANDLE hThread = NULL;
  14.   BYTE* pThisBaseAddr = NULL;
  15.   SIZE_T ViewSize = 0;
  16.   ULONG uiRealSize = 0;
  17.   PRTL_PROCESS_MODULES pRPMs = NULL;
  18.   PRTL_PROCESS_MODULES32 pRPMs32 = NULL;
  19.   HANDLE hSection = NULL;
  20.   LARGE_INTEGER liSectionSize = {};
  21.   PVOID pBaseAddr = NULL;
  22.   ULONG szBufferSz = 0;
  23.   bool bExportSuppression = false;
  24.   bool bDone = false;
  26.   typedef NTSTATUS(CALLBACK PFN_PTR)(HANDLE hThread,
  27.     PKNORMAL_ROUTINE ApcRoutine,
  28.     PVOID ApcContext,
  29.     PVOID Argument1,
  30.     PVOID Argument2);
  31.   PFN_PTR* pQueueAPC;
  33.   assert(pfnPtrs);
  34.   assert(pfnPtrs->pLdrQueryProcessModuleInformation.pfn);
  35.   assert(pfnPtrs->pRtlExitUserThread.pfn);
  37.   //Assume 8 memory pages as the original section size
  38.   SYSTEM_INFO si = {};
  39.   GetSystemInfo(&si);
  40.   szBufferSz = si.dwPageSize * 8;
  41.   assert(szBufferSz);
  43.   //See if export suppression is enabled in Control Flow Guard (CFG) for the target process
  44.   //INFO: If so, we need to enable our thread's EP function and APC callback for CFG,
  45.   //      since calling them otherwise will crash the target process as a security measure!
  46.   status = IsExportSuppressionEnabled(hProcess, &bExportSuppression);
  47.   if (FAILED(status))
  48.     goto cleanup;
  50.   if (bExportSuppression)
  51.   {
  52.     //Enable our function pointers for CFG in the process
  53.     status = SetValidExport(hProcess, pfnPtrs->pRtlExitUserThread.pfn);
  54.     if (FAILED(status))
  55.       goto cleanup;
  57.     status = SetValidExport(hProcess, pfnPtrs->pLdrQueryProcessModuleInformation.pfn);
  58.     if (FAILED(status))
  59.       goto cleanup;
  60.   }
  62.   while (!bDone)
  63.   {
  64.     bDone = true;
  66.     liSectionSize.QuadPart = szBufferSz;
  68.     //Create section
  69.     assert(!hSection);
  70.     status = NtCreateSection(&hSection, SECTION_ALL_ACCESS, NULL, &liSectionSize, PAGE_READWRITE, SEC_COMMIT, 0);
  71.     if (FAILED(status))
  72.       goto cleanup;
  74.     assert(!pBaseAddr);
  75.     pBaseAddr = NULL;
  76.     ViewSize = 0;
  78.     //Map section into target process for writing
  79.     status = ZwMapViewOfSection(hSection, hProcess, &pBaseAddr, 0, 0, NULL, &ViewSize, ViewShare, 0, PAGE_READWRITE);
  80.     if (FAILED(status))
  81.       goto cleanup;
  83.     //Create remote thread in the target process (and shunt it to RtlExitUserThread)
  84.     //Ensure that the thread is created suspended!
  85.     assert(!hThread);
  86.     status = RtlCreateUserThread(hProcess, NULL, TRUE, 0, 0, 0, pfnPtrs->pRtlExitUserThread.pfn, NULL, &hThread, NULL);
  87.     if (FAILED(status))
  88.       goto cleanup;
  90.     //(Optional call)
  91.     //INFO: Notifications about creation and termination of this thread will not be passed to an attached debugger.
  92.     //      And, exceptions in such thread will not be passed to a debugger either.
  93.     NtSetInformationThread(hThread, ThreadHideFromDebugger, 0, 0);
  95.     //Pick which APC function to use (depending on the bitness)
  96.     pQueueAPC = b64bit ? ZwQueueApcThread : RtlQueueApcWow64Thread;
  98.     //We'll reserve last ULONG in our buffer for LdrQueryProcessModuleInformation to return its RequiredSize
  99.     status = pQueueAPC(hThread,
  100.       (PKNORMAL_ROUTINE)pfnPtrs->pLdrQueryProcessModuleInformation.pfn,
  101.       pBaseAddr,
  102.       (PVOID)(szBufferSz - sizeof(ULONG)),
  103.       (BYTE*)pBaseAddr + szBufferSz - sizeof(ULONG));
  105.     if (FAILED(status))
  106.       goto cleanup;
  108.     //Let our APC callback and the thread itself run
  109.     if (ResumeThread(hThread) != 1)
  110.     {
  111.       status = GetLastError();
  112.       goto cleanup;
  113.     }
  115.     //Wait for the thread to finish
  116.     if (WaitForSingleObject(hThread, INFINITE) != WAIT_OBJECT_0)
  117.     {
  118.       status = GetLastError();
  119.       goto cleanup;
  120.     }
  122.     //Unmap the section from the target process
  123.     status = ZwUnmapViewOfSection(hProcess, pBaseAddr);
  124.     if (FAILED(status))
  125.       goto cleanup;
  127.     pBaseAddr = NULL;
  129.     assert(!pThisBaseAddr);
  130.     pThisBaseAddr = NULL;
  131.     ViewSize = 0;
  133.     //Map the same section into our own process so that we can read it
  134.     status = ZwMapViewOfSection(hSection, GetCurrentProcess(),
  135.           (PVOID*)&pThisBaseAddr, 0, 0, NULL, &ViewSize, ViewShare, 0, PAGE_READONLY);
  136.     if (FAILED(status))
  137.       goto cleanup;
  139.     assert(ViewSize <= szBufferSz);
  141.     //Check if the size of the section that we assumed earlier was enough to fill in all modules
  142.     uiRealSize = *(ULONG*)(pThisBaseAddr + szBufferSz - sizeof(ULONG));
  143.     if (uiRealSize <= szBufferSz)
  144.     {
  145.       //Unfortunately we cannot check the return value from the LdrQueryProcessModuleInformation() call. Here's why:
  146.       //The LdrQueryProcessModuleInformation() function is called from an APC callback, and by the time
  147.       //our remote thread gets to calling RtlExitUserThread() its context will be restored by a call to ntdll!NtContinue()
  149.       if (b64bit)
  150.       {
  151.         //64-bit modules
  152.         pRPMs = (PRTL_PROCESS_MODULES)pThisBaseAddr;
  153.         ULONG nNumberOfModules = pRPMs->NumberOfModules;
  155.         //Check that we have at least one module loaded, otherwise it's an error
  156.         if (!nNumberOfModules)
  157.         {
  158.           status = STATUS_PROCEDURE_NOT_FOUND;
  159.           goto cleanup;
  160.         }
  162.         //Output results to the console
  163.         wprintf(L"64-bit Modules (%u):\n",        nNumberOfModules);
  165.         RTL_PROCESS_MODULE_INFORMATION* pPMI = pRPMs->Modules;
  167.         do
  168.         {
  169.           printf("%p sz=%08X flg=%08X Ord=%02X %s\n"
  170.             ,
  171.             pPMI->ImageBase,
  172.             pPMI->ImageSize,
  173.             pPMI->Flags,
  174.             pPMI->InitOrderIndex,
  175.             pPMI->FullPathName
  176.           );
  177.         }
  178.         while (pPMI++, --nNumberOfModules);
  179.       }
  180.       else
  181.       {
  182.         //32-bit modules
  183.         pRPMs32 = (PRTL_PROCESS_MODULES32)pThisBaseAddr;
  184.         ULONG nNumberOfModules = pRPMs32->NumberOfModules;
  186.         //Check that we have at least one module loaded, otherwise it's an error
  187.         if (!nNumberOfModules)
  188.         {
  189.           status = STATUS_PROCEDURE_NOT_FOUND;
  190.           goto cleanup;
  191.         }
  193.         //Output results to the console
  194.         wprintf(L"32-bit Modules (%u):\n", nNumberOfModules);
  196.         RTL_PROCESS_MODULE_INFORMATION* pPMI32 = pRPMs32->Modules;
  198.         do
  199.         {
  200.           printf("%08X sz=%08X flg=%08X Ord=%02X %s\n"
  201.             ,
  202.             pPMI32->ImageBase,
  203.             pPMI32->ImageSize,
  204.             pPMI32->Flags,
  205.             pPMI32->InitOrderIndex,
  206.             pPMI32->FullPathName
  207.           );
  208.         }
  209.         while (pPMI32++, --nNumberOfModules);
  210.       }
  212.       status = STATUS_SUCCESS;
  213.     }
  214.     else
  215.     {
  216.       //Need more memory - allocate it on a page boundary
  217.       if (uiRealSize % si.dwPageSize)
  218.       {
  219.         szBufferSz = uiRealSize / si.dwPageSize;
  220.         szBufferSz++;
  221.         szBufferSz *= si.dwPageSize;
  222.       }
  223.       else
  224.         szBufferSz = uiRealSize;
  226.       //Retry
  227.       bDone = false;
  228.     }
  230. cleanup:
  231.     //Clean-up
  233.     if (pBaseAddr)
  234.     {
  235.       ZwUnmapViewOfSection(GetCurrentProcess(), pBaseAddr);
  236.       pBaseAddr = NULL;
  237.     }
  239.     if (pThisBaseAddr)
  240.     {
  241.       ZwUnmapViewOfSection(GetCurrentProcess(), pThisBaseAddr);
  242.       pThisBaseAddr = NULL;
  243.     }
  245.     if (hSection)
  246.     {
  247.       ZwClose(hSection);
  248.       hSection = NULL;
  249.     }
  251.     if (hThread)
  252.     {
  253.       ZwClose(hThread);
  254.       hThread = NULL;
  255.     }
  256.   }
  258.   return status;
  259. }

您可能已经注意到上面的函数调用带有 ThreadHideFromDebugger 标志的 NtSetInformationThread。这是一个可选调用，调试器进程可以使用它来确保注入到目标进程中的自己的线程不会引起通知，例如线程创建、终止等。通常这些通知被传递给调试器，即附加到被调试进程。通过使用 ThreadHideFromDebugger 调试器可以防止这种情况。

此外，通过为线程指定 ThreadHideFromDebugger，其中的所有异常也不会传递给附加的调试器。

  其他重要函数解析映射的ntdll!LdrQueryProcessModuleInformation和ntdll!RtlExitUserThread本机函数的32位导出指针，我们需要将APC回调注入32位WOW64进程：

点击查看代码 
  1. NTSTATUS ResolveNtDllFuncs32bit(NTDLL_FN_PTRS* pfnPtrs)
  2. {
  3.   NTSTATUS status;
  5.   HANDLE hSection;
  6.   SECTION_IMAGE_INFORMATION sii;
  7.   PVOID pBaseAddr = NULL;
  8.   SIZE_T ViewSize = 0;
  10.   //We'll need the special 32-bit image section for ntdll.dll
  11.   static const WCHAR oa_ntdll_str[] = L"\\KnownDlls32\\ntdll.dll";
  12.   static const UNICODE_STRING oa_ntdll_ustr = { sizeof(oa_ntdll_str) - sizeof((oa_ntdll_str)[0]), sizeof(oa_ntdll_str), const_cast<PWSTR>(oa_ntdll_str) };
  13.   static OBJECT_ATTRIBUTES oa_ntdll = { sizeof(oa_ntdll), 0, const_cast<PUNICODE_STRING>(&oa_ntdll_ustr), OBJ_CASE_INSENSITIVE };
  15.   pfnPtrs->pLdrQueryProcessModuleInformation.pfn = NULL;
  16.   pfnPtrs->pRtlExitUserThread.pfn = NULL;
  18.   status = ZwOpenSection(&hSection, SECTION_QUERY | SECTION_MAP_READ, &oa_ntdll);
  19.   if (FAILED(status))
  20.     goto cleanup;
  22.   status = ZwQuerySection(hSection,   SectionImageInformation, &sii, sizeof(sii), 0);
  23.   if (FAILED(status))
  24.     goto cleanup;
  26.   status = ZwMapViewOfSection(hSection, GetCurrentProcess(), &pBaseAddr, 0, 0, 0, &ViewSize, ViewUnmap, 0, PAGE_READONLY);
  27.   if (FAILED(status))
  28.     goto cleanup;
  30.   __try
  31.   {
  32.     //We will have to parse PE structure manually
  33.     //(Remember, the image section here is of a different bitness than our own process!)
  34.     if (PIMAGE_NT_HEADERS32 pinth = (PIMAGE_NT_HEADERS32)RtlImageNtHeader(pBaseAddr))
  35.     {
  36.       //We'll do a really quick-and-dirty parsing here ...
  37.       status = ResolveModuleExports((PBYTE)sii.TransferAddress - pinth->OptionalHeader.AddressOfEntryPoint,
  38.       pBaseAddr, (EXPORT_ENTRY *)pfnPtrs, 2);
  39.     }
  40.     else
  41.       status = STATUS_BAD_FILE_TYPE;
  42.   }
  43.   __except (EXCEPTION_EXECUTE_HANDLER)
  44.   {
  45.     //Catch exceptions in case the section is not a valid PE file
  46.     status = STATUS_BAD_DATA;
  47.   }
  49. cleanup:
  50.   //Clean-up
  52.   if (pBaseAddr)
  53.     ZwUnmapViewOfSection(GetCurrentProcess(), pBaseAddr);
  55.   if(hSection)
  56.     ZwClose(hSection);
  58.   return status;
  59. }
  61. NTSTATUS ResolveModuleExports(PVOID ImageBase, PVOID pBaseAddr, EXPORT_ENTRY* pfnExports, int nCntExports)
  62. {
  63.   //Resolve exported functions by their names provided in 'pfnExports', using the image section mapped in memory
  64.   NTSTATUS status;
  66.   ULONG exportSize, exportRVA;
  67.   ULONG NumberOfFunctions;
  68.   ULONG NumberOfNames;
  69.   ULONG OrdinalBase;
  70.   PULONG AddressOfFunctions;
  71.   PULONG AddressOfNames;
  72.   PWORD AddressOfNameOrdinals;
  74.   PIMAGE_EXPORT_DIRECTORY pied = (PIMAGE_EXPORT_DIRECTORY)
  75.     RtlImageDirectoryEntryToData(pBaseAddr, TRUE, IMAGE_DIRECTORY_ENTRY_EXPORT, &exportSize);
  76.   if (!pied)
  77.   {
  78.     status = STATUS_INVALID_IMAGE_FORMAT;
  79.     goto cleanup;
  80.   }
  82.   exportRVA = RtlPointerToOffset(pBaseAddr, pied);
  83.   NumberOfFunctions = pied->NumberOfFunctions;
  84.   if (!NumberOfFunctions)
  85.   {
  86.     status = STATUS_SOURCE_ELEMENT_EMPTY;
  87.     goto cleanup;
  88.   }
  90.   NumberOfNames = pied->NumberOfNames;
  91.   OrdinalBase = pied->Base;
  93.   AddressOfFunctions = (PULONG)RtlOffsetToPointer(pBaseAddr, pied->AddressOfFunctions);
  94.   AddressOfNames = (PULONG)RtlOffsetToPointer(pBaseAddr, pied->AddressOfNames);
  95.   AddressOfNameOrdinals = (PWORD)RtlOffsetToPointer(pBaseAddr, pied->AddressOfNameOrdinals);
  97.   status = STATUS_SUCCESS;
  99.   for (EXPORT_ENTRY* pEnd = pfnExports + nCntExports; pfnExports < pEnd; pfnExports++)
  100.   {
  101.     ULONG i;
  102.     PCSTR Name = pfnExports->pstrName;
  104.     assert(*Name != '#'); //Can't process ordinals
  106.     //Match each export by name
  107.     i = GetNameOrdinal(pBaseAddr, AddressOfNames, NumberOfNames, Name);
  108.     if (i == UINT_MAX)
  109.     {
  110.       status = STATUS_OBJECT_NAME_NOT_FOUND;
  111.       break;
  112.     }
  114.     if (i < NumberOfNames)
  115.       i = AddressOfNameOrdinals[i];
  117.     if (i >= NumberOfFunctions)
  118.     {
  119.       status = STATUS_FOUND_OUT_OF_SCOPE;
  120.       break;
  121.     }
  123.     DWORD Rva = AddressOfFunctions[i];
  125.     if ((ULONG_PTR)Rva - (ULONG_PTR)exportRVA >=    exportSize)
  126.     {
  127.       (FARPROC&)pfnExports->pfn = (FARPROC)RtlOffsetToPointer(ImageBase, Rva);
  128.     }
  129.     else
  130.     {
  131.       //For brevity, we won't handle forwarded function exports ...
  132.       //(This has nothing to do with the subject of this blog post.)
  133.       status = STATUS_ILLEGAL_FUNCTION;
  134.       break;
  135.     }
  136.   }
  138. cleanup:
  139.   //Clean-up process
  141.   return status;
  142. }
  144. ULONG GetNameOrdinal(PVOID pBaseAddr, PDWORD AddressOfNames, DWORD NumberOfNames, PCSTR Name)
  145. {
  146.   //Resolve ordinal index by a function name
  147.   //RETURN:
  148.   //    Such index, or
  149.   //    UINT_MAX if error
  150.   if (NumberOfNames)
  151.   {
  152.     DWORD a = 0;
  154.     do
  155.     {
  156.       int u = (a + NumberOfNames) >> 1;
  157.       PCSTR pNm = RtlOffsetToPointer(pBaseAddr, AddressOfNames[u]);
  158.       int i = strcmp(pNm, Name);
  160.       if (!i)
  161.       {
  162.         return u;
  163.       }
  165.       0 > i ? a = u + 1 : NumberOfNames = u;
  167.     } while (a < NumberOfNames);
  168.   }
  170.   //Name was not found
  171.   return UINT_MAX;
  172. }

我们还需要考虑其他可能干扰我们上述方法的因素。 这在技术上与 APC 的主题无关，因此我将非常简要地讨论它。

我说的是控制流保护（CFG，Control Flow Guard）。如果它为目标进程启用，并且它具有导出抑制的功能之一，这将阻止我们的 APC 代码注入通过。也就是说，如果我们的 APC 回调和远程线程入口点不在 CFG 位图中，则目标进程将被 CFG 强制崩溃。这是一个很好的安全措施，但对我们的目的不是很好。

不过，对于我们的用例，我们需要绕过 CFG。对我们来说幸运的是，这很容易做到。我们只需要在需要的导出函数上调用 SetProcessValidCallTargets 函数来禁用它。这就是下面的代码为我们完成的。

  下面的第一个函数(IsExportSuppressionEnabled) 确定是否启用了带有导出抑制的CFG。第二个函数（SetValidExport）在目标进程中为我们的导出禁用导出抑制：

为了完整性，当我们的主函数退出时启用这些导出也是谨慎的。这是微不足道的，因此我们不会在这里详述。

 

请注意，以下函数在某种意义上构成了竞争条件，即在我们禁用它们之后，某些其他线程甚至进程可能会在我们的导出上启用 CFG。

点击查看代码 
  1. NTSTATUS IsExportSuppressionEnabled(HANDLE hProcess, bool* enabled)
  2. {
  3.   //Checks if CFG with export suppression is enabled for 'hProcess' and returns it in 'enabled'
  4.   //The 'hProcess' handle must be opened with the PROCESS_QUERY_INFORMATION permission flag
  5.   struct PROCESS_MITIGATION {
  6.     PROCESS_MITIGATION_POLICY Policy;
  7.     ULONG Flags;
  8.   };
  10.   bool bEnabled = false;
  12.   PROCESS_MITIGATION m = { ProcessControlFlowGuardPolicy };
  13.   NTSTATUS status = NtQueryInformationProcess(hProcess, ProcessMitigationPolicy, &m, sizeof(m), 0);
  14.   if (SUCCEEDED(status))
  15.   {
  16.     PROCESS_MITIGATION_CONTROL_FLOW_GUARD_POLICY* pCFG = (PROCESS_MITIGATION_CONTROL_FLOW_GUARD_POLICY*)&m.Flags;
  18.     bEnabled = pCFG->EnableControlFlowGuard &&
  19.       pCFG->EnableExportSuppression;
  20.   }
  22.   if(enabled)
  23.     *enabled = bEnabled;
  25.   return status;
  26. }
  28. #pragma comment(lib, "mincore.lib")
  29. NTSTATUS SetValidExport(HANDLE hProcess, LPCVOID pv)
  30. {
  31.   //Disables CFG export-suppression on 'pv' function in 'hProcess'
  32.   MEMORY_BASIC_INFORMATION mbi;
  33.   NTSTATUS status = NtQueryVirtualMemory(hProcess, (void*)pv, MemoryBasicInformation, &mbi, sizeof(mbi), 0);
  34.   if (SUCCEEDED(status))
  35.   {
  36.     if (mbi.State != MEM_COMMIT || mbi.Type != MEM_IMAGE)
  37.     {
  38.       return STATUS_INVALID_ADDRESS;
  39.     }
  41.     CFG_CALL_TARGET_INFO OffsetInformation = {
  42.       (ULONG_PTR)pv - (ULONG_PTR)mbi.BaseAddress,
  43.       CFG_CALL_TARGET_CONVERT_EXPORT_SUPPRESSED_TO_VALID | CFG_CALL_TARGET_VALID
  44.     };
  46.     return SetProcessValidCallTargets(hProcess, mbi.BaseAddress, mbi.RegionSize, 1, &OffsetInformation) &&
  47.       (OffsetInformation.Flags & CFG_CALL_TARGET_PROCESSED) ? STATUS_SUCCESS : STATUS_STRICT_CFG_VIOLATION;
  48.   }
  50.   return status;
  51. }

  最后，要在VisualStudio中编译上述代码，理想情况下需要安装WDK。或者，您可以使用以下声明在没有WDK的情况下对其进行编译：

点击查看代码 
  1. #include <iostream>
  2. #include Windows.h>
  3. #include <assert.h>
  5. #pragma comment(lib, "ntdll.lib")   //For native API calls
  7. struct EXPORT_ENTRY {
  8.   FARPROC pfn;
  9.   PCSTR pstrName;
  10. };
  11. struct NTDLL_FN_PTRS {
  12.   EXPORT_ENTRY pLdrQueryProcessModuleInformation;
  13.   EXPORT_ENTRY pRtlExitUserThread;
  14. };
  16. typedef
  17. VOID
  18. KNORMAL_ROUTINE(
  19.   __in_opt PVOID NormalContext,
  20.   __in_opt PVOID SystemArgument1,
  21.   __in_opt PVOID SystemArgument2
  22. );
  23. typedef KNORMAL_ROUTINE* PKNORMAL_ROUTINE;
  25. typedef struct _UNICODE_STRING {
  26.   USHORT Length;
  27.   USHORT MaximumLength;
  28.   _Field_size_bytes_part_opt_(MaximumLength, Length) PWCH   Buffer;
  29. } UNICODE_STRING;
  30. typedef UNICODE_STRING* PUNICODE_STRING;
  31. typedef const UNICODE_STRING* PCUNICODE_STRING;
  33. typedef struct _OBJECT_ATTRIBUTES {
  34.   ULONG Length;
  35.   HANDLE RootDirectory;
  36.   PUNICODE_STRING ObjectName;
  37.   ULONG Attributes;
  38.   PVOID SecurityDescriptor;        // Points to type SECURITY_DESCRIPTOR
  39.   PVOID SecurityQualityOfService;  // Points to type SECURITY_QUALITY_OF_SERVICE
  40. } OBJECT_ATTRIBUTES;
  41. typedef OBJECT_ATTRIBUTES* POBJECT_ATTRIBUTES;
  42. typedef CONST OBJECT_ATTRIBUTES* PCOBJECT_ATTRIBUTES;
  44. typedef enum _SECTION_INHERIT {
  45.   ViewShare = 1,
  46.   ViewUnmap = 2
  47. } SECTION_INHERIT;
  49. typedef struct _CLIENT_ID {
  50.   HANDLE UniqueProcess;
  51.   HANDLE UniqueThread;
  52. } CLIENT_ID;
  53. typedef CLIENT_ID* PCLIENT_ID;
  55. typedef struct RTL_PROCESS_MODULE_INFORMATION {
  56.   HANDLE Section;                 // Not filled in
  57.   PVOID MappedBase;
  58.   PVOID ImageBase;
  59.   ULONG ImageSize;
  60.   ULONG Flags;
  61.   USHORT LoadOrderIndex;
  62.   USHORT InitOrderIndex;
  63.   USHORT LoadCount;
  64.   USHORT OffsetToFileName;
  65.   CHAR  FullPathName[256];
  66. } *PRTL_PROCESS_MODULE_INFORMATION;
  68. typedef struct RTL_PROCESS_MODULES {
  69.   ULONG NumberOfModules;
  70.   RTL_PROCESS_MODULE_INFORMATION Modules[1];
  71. } *PRTL_PROCESS_MODULES;
  73. typedef int HANDLE32;
  74. typedef int PVOID32;
  76. #pragma pack(push)
  77. #pragma pack(4)
  78. typedef struct RTL_PROCESS_MODULE_INFORMATION32 {
  79.   HANDLE32 Section;                 // Not filled in
  80.   PVOID32 MappedBase;
  81.   PVOID32 ImageBase;
  82.   ULONG ImageSize;
  83.   ULONG Flags;
  84.   USHORT LoadOrderIndex;
  85.   USHORT InitOrderIndex;
  86.   USHORT LoadCount;
  87.   USHORT OffsetToFileName;
  88.   CHAR  FullPathName[256];
  89. } *PRTL_PROCESS_MODULE_INFORMATION32;
  91. typedef struct RTL_PROCESS_MODULES32 {
  92.   ULONG NumberOfModules;
  93.   RTL_PROCESS_MODULE_INFORMATION32 Modules[1];
  94. } *PRTL_PROCESS_MODULES32;
  95. #pragma pack(pop)
  97. typedef enum _PROCESSINFOCLASS {
  98.   ProcessBasicInformation = 0,
  99.   ProcessQuotaLimits = 1,
  100.   ProcessIoCounters = 2,
  101.   ProcessVmCounters = 3,
  102.   ProcessTimes = 4,
  103.   ProcessBasePriority = 5,
  104.   ProcessRaisePriority = 6,
  105.   ProcessDebugPort = 7,
  106.   ProcessExceptionPort = 8,
  107.   ProcessAccessToken = 9,
  108.   ProcessLdtInformation = 10,
  109.   ProcessLdtSize = 11,
  110.   ProcessDefaultHardErrorMode = 12,
  111.   ProcessIoPortHandlers = 13,   // Note: this is kernel mode only
  112.   ProcessPooledUsageAndLimits = 14,
  113.   ProcessWorkingSetWatch = 15,
  114.   ProcessUserModeIOPL = 16,
  115.   ProcessEnableAlignmentFaultFixup = 17,
  116.   ProcessPriorityClass = 18,
  117.   ProcessWx86Information = 19,
  118.   ProcessHandleCount = 20,
  119.   ProcessAffinityMask = 21,
  120.   ProcessPriorityBoost = 22,
  121.   ProcessDeviceMap = 23,
  122.   ProcessSessionInformation = 24,
  123.   ProcessForegroundInformation = 25,
  124.   ProcessWow64Information = 26,
  125.   ProcessImageFileName = 27,
  126.   ProcessLUIDDeviceMapsEnabled = 28,
  127.   ProcessBreakOnTermination = 29,
  128.   ProcessDebugObjectHandle = 30,
  129.   ProcessDebugFlags = 31,
  130.   ProcessHandleTracing = 32,
  131.   ProcessIoPriority = 33,
  132.   ProcessExecuteFlags = 34,
  133.   ProcessTlsInformation = 35,
  134.   ProcessCookie = 36,
  135.   ProcessImageInformation = 37,
  136.   ProcessCycleTime = 38,
  137.   ProcessPagePriority = 39,
  138.   ProcessInstrumentationCallback = 40,
  139.   ProcessThreadStackAllocation = 41,
  140.   ProcessWorkingSetWatchEx = 42,
  141.   ProcessImageFileNameWin32 = 43,
  142.   ProcessImageFileMapping = 44,
  143.   ProcessAffinityUpdateMode = 45,
  144.   ProcessMemoryAllocationMode = 46,
  145.   ProcessGroupInformation = 47,
  146.   ProcessTokenVirtualizationEnabled = 48,
  147.   ProcessOwnerInformation = 49,
  148.   ProcessWindowInformation = 50,
  149.   ProcessHandleInformation = 51,
  150.   ProcessMitigationPolicy = 52,
  151.   ProcessDynamicFunctionTableInformation = 53,
  152.   ProcessHandleCheckingMode = 54,
  153.   ProcessKeepAliveCount = 55,
  154.   ProcessRevokeFileHandles = 56,
  155.   ProcessWorkingSetControl = 57,
  156.   ProcessHandleTable = 58,
  157.   ProcessCheckStackExtentsMode = 59,
  158.   ProcessCommandLineInformation = 60,
  159.   ProcessProtectionInformation = 61,
  160.   ProcessMemoryExhaustion = 62,
  161.   ProcessFaultInformation = 63,
  162.   ProcessTelemetryIdInformation = 64,
  163.   ProcessCommitReleaseInformation = 65,
  164.   ProcessReserved1Information = 66,
  165.   ProcessReserved2Information = 67,
  166.   ProcessSubsystemProcess = 68,
  167.   ProcessInPrivate = 70,
  168.   ProcessRaiseUMExceptionOnInvalidHandleClose = 71,
  169.   ProcessSubsystemInformation = 75,
  170.   ProcessWin32kSyscallFilterInformation = 79,
  171.   ProcessEnergyTrackingState = 82,
  172.   MaxProcessInfoClass                             // MaxProcessInfoClass should always be the last enum
  173. } PROCESSINFOCLASS;
  175. #define OBJ_CASE_INSENSITIVE                0x00000040L
  177. #define STATUS_SUCCESS                   ((NTSTATUS)0x00000000L)
  178. #define STATUS_BAD_DATA                  ((NTSTATUS)0xC000090BL)
  179. #define STATUS_BAD_FILE_TYPE             ((NTSTATUS)0xC0000903L)
  180. #define STATUS_INVALID_IMAGE_FORMAT      ((NTSTATUS)0xC000007BL)
  181. #define STATUS_SOURCE_ELEMENT_EMPTY      ((NTSTATUS)0xC0000283L)
  182. #define STATUS_FOUND_OUT_OF_SCOPE        ((NTSTATUS)0xC000022EL)
  183. #define STATUS_ILLEGAL_FUNCTION          ((NTSTATUS)0xC00000AFL)
  184. #define STATUS_OBJECT_NAME_NOT_FOUND     ((NTSTATUS)0xC0000034L)
  185. #define STATUS_PROCEDURE_NOT_FOUND       ((NTSTATUS)0xC000007AL)
  186. #define STATUS_INVALID_ADDRESS           ((NTSTATUS)0xC0000141L)
  187. #define STATUS_STRICT_CFG_VIOLATION      ((NTSTATUS)0xC0000606L)
  189. #define RtlPointerToOffset(B,P)  ((ULONG)( ((PCHAR)(P)) - ((PCHAR)(B)) ))
  190. #define RtlOffsetToPointer(B,O)  ((PCHAR)( ((PCHAR)(B)) + ((ULONG_PTR)(O)) ))
  192. struct SECTION_IMAGE_INFORMATION
  193. {
  194.   PVOID TransferAddress;
  195.   ULONG ZeroBits;
  196.   SIZE_T MaximumStackSize;
  197.   SIZE_T CommittedStackSize;
  198.   ULONG SubSystemType;
  199.   union
  200.   {
  201.     struct
  202.     {
  203.       USHORT SubSystemMinorVersion;
  204.       USHORT SubSystemMajorVersion;
  205.     };
  206.     ULONG SubSystemVersion;
  207.   };
  208.   ULONG GpValue;
  209.   USHORT ImageCharacteristics;
  210.   USHORT DllCharacteristics;
  211.   USHORT Machine;
  212.   BOOLEAN ImageContainsCode;
  213.   union
  214.   {
  215.     UCHAR ImageFlags;
  216.     struct
  217.     {
  218.       UCHAR ComPlusNativeReady : 1;
  219.       UCHAR ComPlusILOnly : 1;
  220.       UCHAR ImageDynamicallyRelocated : 1;
  221.       UCHAR ImageMappedFlat : 1;
  222.       UCHAR BaseBelow4gb : 1;
  223.       UCHAR Reserved : 3;
  224.     };
  225.   };
  226.   ULONG LoaderFlags;
  227.   ULONG ImageFileSize;
  228.   ULONG CheckSum;
  229. };
  231. enum SECTION_INFORMATION_CLASS
  232. {
  233.   SectionBasicInformation,
  234.   SectionImageInformation
  235. };
  237. typedef enum _THREADINFOCLASS {
  238.   ThreadBasicInformation = 0,
  239.   ThreadTimes = 1,
  240.   ThreadPriority = 2,
  241.   ThreadBasePriority = 3,
  242.   ThreadAffinityMask = 4,
  243.   ThreadImpersonationToken = 5,
  244.   ThreadDescriptorTableEntry = 6,
  245.   ThreadEnableAlignmentFaultFixup = 7,
  246.   ThreadEventPair_Reusable = 8,
  247.   ThreadQuerySetWin32StartAddress = 9,
  248.   ThreadZeroTlsCell = 10,
  249.   ThreadPerformanceCount = 11,
  250.   ThreadAmILastThread = 12,
  251.   ThreadIdealProcessor = 13,
  252.   ThreadPriorityBoost = 14,
  253.   ThreadSetTlsArrayAddress = 15,   // Obsolete
  254.   ThreadIsIoPending = 16,
  255.   ThreadHideFromDebugger = 17,
  256.   ThreadBreakOnTermination = 18,
  257.   ThreadSwitchLegacyState = 19,
  258.   ThreadIsTerminated = 20,
  259.   ThreadLastSystemCall = 21,
  260.   ThreadIoPriority = 22,
  261.   ThreadCycleTime = 23,
  262.   ThreadPagePriority = 24,
  263.   ThreadActualBasePriority = 25,
  264.   ThreadTebInformation = 26,
  265.   ThreadCSwitchMon = 27,   // Obsolete
  266.   ThreadCSwitchPmu = 28,
  267.   ThreadWow64Context = 29,
  268.   ThreadGroupInformation = 30,
  269.   ThreadUmsInformation = 31,   // UMS
  270.   ThreadCounterProfiling = 32,
  271.   ThreadIdealProcessorEx = 33,
  272.   ThreadCpuAccountingInformation = 34,
  273.   ThreadSuspendCount = 35,
  274.   ThreadActualGroupAffinity = 41,
  275.   ThreadDynamicCodePolicyInfo = 42,
  276.   ThreadSubsystemInformation = 45,
  278.   MaxThreadInfoClass = 51,
  279. } THREADINFOCLASS;
  281. typedef enum _MEMORY_INFORMATION_CLASS {
  282.   MemoryBasicInformation
  283. } MEMORY_INFORMATION_CLASS;
  285. //Imported native functions from ntdll
  286. extern "C" {
  287.   __declspec(dllimport) NTSTATUS CALLBACK ZwQueueApcThread
  288.   (
  289.     HANDLE hThread,
  290.     PKNORMAL_ROUTINE ApcRoutine,
  291.     PVOID ApcContext,
  292.     PVOID Argument1,
  293.     PVOID Argument2
  294.   );
  296.   __declspec(dllimport) NTSTATUS CALLBACK NtCreateSection
  297.   (
  298.     _Out_ PHANDLE SectionHandle,
  299.     _In_ ACCESS_MASK DesiredAccess,
  300.     _In_opt_ POBJECT_ATTRIBUTES ObjectAttributes,
  301.     _In_opt_ PLARGE_INTEGER MaximumSize,
  302.     _In_ ULONG SectionPageProtection,
  303.     _In_ ULONG AllocationAttributes,
  304.     _In_opt_ HANDLE FileHandle
  305.   );
  307.   __declspec(dllimport) NTSTATUS CALLBACK ZwClose
  308.   (
  309.     _In_ HANDLE Handle
  310.   );
  312.   __declspec(dllimport) NTSTATUS CALLBACK ZwMapViewOfSection
  313.   (
  314.     _In_ HANDLE SectionHandle,
  315.     _In_ HANDLE ProcessHandle,
  316.     _Outptr_result_bytebuffer_(*ViewSize) PVOID* BaseAddress,
  317.     _In_ ULONG_PTR ZeroBits,
  318.     _In_ SIZE_T CommitSize,
  319.     _Inout_opt_ PLARGE_INTEGER SectionOffset,
  320.     _Inout_ PSIZE_T ViewSize,
  321.     _In_ SECTION_INHERIT InheritDisposition,
  322.     _In_ ULONG AllocationType,
  323.     _In_ ULONG Win32Protect
  324.   );
  326.   __declspec(dllimport) NTSTATUS CALLBACK ZwUnmapViewOfSection
  327.   (
  328.     _In_ HANDLE ProcessHandle,
  329.     _In_opt_ PVOID BaseAddress
  330.   );
  332.   __declspec(dllimport) NTSTATUS CALLBACK RtlCreateUserThread
  333.   (
  334.     IN HANDLE hProcess,
  335.     PVOID   SecurityDescriptor,
  336.     BOOLEAN CreateSuspended,
  337.     ULONG ZeroBits,
  338.     SIZE_T StackReserve,
  339.     SIZE_T StackCommit,
  340.     PVOID EntryPoint,
  341.     const void* Argument,
  342.     PHANDLE phThread,
  343.     PCLIENT_ID pCid
  344.   );
  346.   __declspec(dllimport) NTSTATUS CALLBACK RtlExitUserThread
  347.   (
  348.     DWORD dwExitCode
  349.   );
  351.   __declspec(dllimport) NTSTATUS CALLBACK RtlQueueApcWow64Thread
  352.   (
  353.     HANDLE hThread,
  354.     PKNORMAL_ROUTINE ApcRoutine,
  355.     PVOID ApcContext,
  356.     PVOID Argument1,
  357.     PVOID Argument2
  358.   );
  360.   __declspec(dllimport) NTSTATUS CALLBACK LdrQueryProcessModuleInformation
  361.   (
  362.     PRTL_PROCESS_MODULES psmi,
  363.     ULONG BufferSize,
  364.     PULONG RealSize
  365.   );
  367.   __declspec(dllimport) NTSTATUS CALLBACK NtQueryInformationProcess
  368.   (
  369.     IN HANDLE ProcessHandle,
  370.     IN  PROCESSINFOCLASS ProcessInformationClass,
  371.     OUT PVOID ProcessInformation,
  372.     IN ULONG ProcessInformationLength,
  373.     OUT PULONG ReturnLength OPTIONAL
  374.   );
  376.   __declspec(dllimport) NTSTATUS CALLBACK ZwOpenSection
  377.   (
  378.     _Out_ PHANDLE SectionHandle,
  379.     _In_ ACCESS_MASK DesiredAccess,
  380.     _In_ POBJECT_ATTRIBUTES ObjectAttributes
  381.   );
  383.   __declspec(dllimport) NTSTATUS CALLBACK ZwQuerySection
  384.   (
  385.     IN HANDLE SectionHandle,
  386.     IN ULONG SectionInformationClass,
  387.     OUT PVOID SectionInformation,
  388.     IN ULONG SectionInformationLength,
  389.     OUT PSIZE_T ResultLength OPTIONAL
  390.   );
  392.   __declspec(dllimport) PIMAGE_NT_HEADERS CALLBACK RtlImageNtHeader
  393.   (
  394.     PVOID Base
  395.   );
  397.   __declspec(dllimport) PVOID CALLBACK RtlImageDirectoryEntryToData
  398.   (
  399.     PVOID Base,
  400.     BOOLEAN MappedAsImage,
  401.     USHORT DirectoryEntry,
  402.     PULONG Size
  403.   );
  405.   __declspec(dllimport) NTSTATUS CALLBACK NtSetInformationThread(
  406.     _In_ HANDLE ThreadHandle,
  407.     _In_ THREADINFOCLASS ThreadInformationClass,
  408.     _When_((ThreadInformationClass != ThreadManageWritesToExecutableMemory),
  409.       _In_reads_bytes_(ThreadInformationLength))
  410.     _When_((ThreadInformationClass == ThreadManageWritesToExecutableMemory),
  411.       _Inout_updates_(ThreadInformationLength))
  412.     PVOID ThreadInformation,
  413.     _In_ ULONG ThreadInformationLength
  414.   );
  416.   __declspec(dllimport) NTSTATUS CALLBACK NtQueryVirtualMemory(
  417.     _In_ HANDLE ProcessHandle,
  418.     _In_opt_ PVOID BaseAddress,
  419.     _In_ MEMORY_INFORMATION_CLASS MemoryInformationClass,
  420.     _Out_writes_bytes_(MemoryInformationLength) PVOID MemoryInformation,
  421.     _In_ SIZE_T MemoryInformationLength,
  422.     _Out_opt_ PSIZE_T ReturnLength
  423.   );
  424. }

后记

  从这篇博文的篇幅可以看出，异步过程调用在Windows中是一个棘手的主题。理解它的最好方法是自己编写代码并在实践中进行测试。如果您自己遇到了与APC打交道的有趣情况，请随时在下方发表评论。

  或者，如果您想直接联系我(Rbmm)或Dennis A. Babkin，请随时联系。

深入Windows APC的更多相关文章

  1. WINDOWS硬件通知应用程序的常方法（五种方式：异步过程调用APC，事件方式VxD，消息方式，异步I/O方式，事件方式WDM）

    摘要:在目前流行的Windows操作系统中,设备驱动程序是操纵硬件的最底层软件接口.为了共享在设备驱动程序设计过程中的经验,给出设备驱动程序通知应用程序的5种方法,详细说明每种方法的原理和实现过程,并 ...

  2. windows：shellcode 代码远程APC注入和加载

    https://www.cnblogs.com/theseventhson/p/13197776.html  上一章介绍了通用的shellcode加载器,这个加载器自己调用virtualAlloc分配 ...

  3. [6]Windows内核情景分析 --APC

    APC:异步过程调用.这是一种常见的技术.前面进程启动的初始过程就是:主线程在内核构造好运行环境后,从KiThreadStartup开始运行,然后调用PspUserThreadStartup,在该线程 ...

  4. Windows中断那些事儿

    搞内核研究的经常对中断这个概念肯定不陌生,经常我们会接触很多与中断相关的术语,按照软件和硬件进行分类: 硬件CPU相关: IRQ.IDT.cli&sti 软件操作系统相关: APC.DPC.I ...

  5. 深入解析Windows操作系统笔记——CH3系统机制

    3.系统机制 微软提供了一些基本组件让内核模式的组件使用: 1.陷阱分发,包括终端,延迟的过程调用(DPC),异步过程调用(APC),异常分发以及系统服务分发 2.执行体对象管理器 3.同步,包括自旋 ...

  6. 深入解析Windows操作系统笔记——CH2系统结构

    2.系统结构 本章主要介绍系统的总体结构,关键部件之间的交互,以及运行在什么环境. 2.系统结构 2.1 需求和设计目标 2.2 操作系统模型 2.3 总体结构 2.3.1 可移植性 2.3.2 对称 ...

  7. Windows内核 基本数据结构

    驱动对象: 每个驱动程序都会有唯一的驱动对象与之对应,并且这个驱动对象是在驱动加载时被内核中的对象管理程序所创建的.驱动对象用DRIVER_OBJECT数据结构表示,它作为驱动的一个实例被内核加载,并 ...

  8. Windows Internals学习笔记（六）Windows关键系统组件

    参考资料: 1. <Windows Internals> 2. Dependency Walker 3. Ntoskrnl.exe 4. Livekd的使用 5. WinDbg的使用(一) ...

  9. Windows x86/ x64 Ring3层注入Dll总结

    欢迎转载,转载请注明出处:http://www.cnblogs.com/uAreKongqi/p/6012353.html 0x00.前言 提到Dll的注入,立马能够想到的方法就有很多,比如利用远程线 ...

随机推荐

  1. 【LeetCode】54. Spiral Matrix 解题报告（Python）

    作者: 负雪明烛 id: fuxuemingzhu 个人博客: http://fuxuemingzhu.cn/ 目录 题目描述 题目大意 解题方法 维护四个边界和运动方向 保存已经走过的位置 日期 题 ...

  2. C# 基础(更新中)

    Data Structure There're two types of variables in C#, reference type and value type. Enum: enum Colo ...

  3. 【LeetCode】343. Integer Break 解题报告（Python & C++）

    作者: 负雪明烛 id: fuxuemingzhu 个人博客: http://fuxuemingzhu.cn/ 目录 题目描述 题目大意 解题方法 数学解法 动态规划 日期 题目地址:https:// ...

  4. YAPTCHA(hdu2973)

    YAPTCHA Time Limit: 10000/5000 MS (Java/Others)    Memory Limit: 32768/32768 K (Java/Others)Total Su ...

  5. 基于内存的关系数据库memsql初探

    背景 广告系统中,算法模型预估需要根据广告的实时转化统计结果,才能做出更精准的预估:同时,支持多维度聚合查询(例如按照广告各个不同层级维度,按照时间不同粒度的维度),并跨大区合并.一开始的版本是基于m ...

  6. toString()、String.valueOf、(String)强转

    1.基本类型 (1)基本类型没有toString()方法 (2)推荐使用String.valueOf(); (3)无法强转 =========补========= (String)是标准的类型转换,将 ...

  7. Java线程安全MAP ，LIST ，SET

    ConcurrentHashMap是线程安全的HashMap, CopyOnWriteArrayList是线程安全的ArrayList CopyOnWriteArraySet是线程安全的Set.

  8. CS5211完全替代兼容LT7211|PS8625|CH7511方案|EDP转LVDS|Capstone CS5211

    CH7511|LT7211|PS8625替代方案--Capstone CS5211AN 设计EDP转LVDS优势方案原理图+PCB板设计 CH7511|LT7211|PS8625这三款都是专门用于设计 ...

  9. 包含全国所有省份、城市、县的一份json文件

    最近做项目时,有个需要全国所有省市信息的数据,于是百度了一下,发现CSDN的很多都需要积分下载,无解!所以自己收集了一份整理了出来. 简单说明一下 1.这是一份json文件,这是因为全国的省市信息一般 ...

  10. JEP解读与尝鲜系列4 - Java 16 中对于 Project Valhalla 的铺垫

    这是 JEP 解读与尝鲜系列的第 4 篇,之前的文章如下: JEP解读与尝鲜系列 1 - Java Valhalla与Java Inline class JEP解读与尝鲜系列 2 - JEP 142 ...