用户态调用ntdll中的native api

用户态轻松ntdll中的native api

调用方式一(一般方式):

第一步:声明函数指针
             比如我们需要调用NtCreateFile函数,那么我们就需要根据NtCreateFile的定义来声明一个相同类型的函数指针(这样做会让编译器比较高兴)

typedef NTSTATUS (* MyNtCreateFile) (
                      OUT PHANDLE             FileHandle,
                      IN ACCESS_MASK          DesiredAccess,
                      IN POBJECT_ATTRIBUTES   ObjectAttributes,
                      //OUT PIO_STATUS_BLOCK    IoStatusBlock,
                      OUT PVOID    IoStatusBlock,
                      IN PLARGE_INTEGER       AllocationSize OPTIONAL,
                      IN ULONG                FileAttributes,
                      IN ULONG                ShareAccess,
                      IN ULONG                CreateDisposition,
                      IN ULONG                CreateOptions,
                      IN PVOID                EaBuffer OPTIONAL,
                      IN ULONG                EaLength 
                     );
    MyNtCreateFile MyNtCreateFileFun;

第二步: 获取native api在ntdll中的地址

MyNtCreateFileFun= (MyNtCreateFile)GetProcAddress (GetModuleHandle("ntdll.dll"), "NtCreateFile"); 

第三步: 调用native api完成功能

其实这也不算复杂,然而每次在程序移植的时候让我非常的郁闷,每次都要去定义声明函数指针,每次都要在代码中出现获取指定native api地址的代码,又烦又乱,后来终于在<Undocumented Windows 2000 Secrets>中找到了一个更加有可移植性的方法

调用方式二(仍然以NtCreateFile来举例):

第一步:添加ntdll.lib到工程中,(在工程设置里面添加或者加上 #pragma comment(lib,"ntdll.lib") ),ntdll.lib在安装了DDK之后就可以找到

第二步:声明指定native api
            我将native api的定义放在了统一的头文件中,以后可以不断的丰富该文件,将来工作量会不断的减小,在使用的时候将该头文件包含进来即可

/*
    NativeApiDef.h
    define the Native Api
*/

#ifndef GALIHOO_NATIVE_API_DEF
#define GALIHOO_NATIVE_API_DEF

#pragma once

#ifdef __cplusplus
extern "C" ...{
#endif

typedef LONG NTSTATUS, *PNTSTATUS, **PPNTSTATUS;

#define STATUS_SUCCESS                      ((NTSTATUS) 0x00000000)
#define STATUS_INFO_LENGTH_MISMATCH         ((NTSTATUS) 0xC0000004)
#define STATUS_IO_DEVICE_ERROR              ((NTSTATUS) 0xC0000185)

typedef struct _UNICODE_STRING
        ...{
/**//*000*/ WORD  Length;
/**//*002*/ WORD  MaximumLength;
/**//*004*/ PWORD Buffer;
/**//*008*/ }
        UNICODE_STRING,
     * PUNICODE_STRING,
    **PPUNICODE_STRING;

#define UNICODE_STRING_ 
        sizeof (UNICODE_STRING)

typedef struct _OBJECT_ATTRIBUTES
        ...{
/**//*000*/ DWORD                        Length; // 0x18
/**//*004*/ HANDLE                       RootDirectory;
/**//*008*/ PUNICODE_STRING              ObjectName;
/**//*00C*/ DWORD                        Attributes;
/**//*010*/ PSECURITY_DESCRIPTOR         SecurityDescriptor;
/**//*014*/ PSECURITY_QUALITY_OF_SERVICE SecurityQualityOfService;
/**//*018*/ }
        OBJECT_ATTRIBUTES,
     * POBJECT_ATTRIBUTES,
    **PPOBJECT_ATTRIBUTES;

#define OBJECT_ATTRIBUTES_ 
        sizeof (OBJECT_ATTRIBUTES)
        
NTSYSAPI 
NTSTATUS
NTAPI
NtCreateFile(
              OUT PHANDLE             FileHandle,
              IN ACCESS_MASK          DesiredAccess,
              IN POBJECT_ATTRIBUTES   ObjectAttributes,
              //OUT PIO_STATUS_BLOCK    IoStatusBlock,
              OUT PVOID    IoStatusBlock,
              IN PLARGE_INTEGER       AllocationSize OPTIONAL,
              IN ULONG                FileAttributes,
              IN ULONG                ShareAccess,
              IN ULONG                CreateDisposition,
              IN ULONG                CreateOptions,
              IN PVOID                EaBuffer OPTIONAL,
              IN ULONG                EaLength 
             );

#ifdef __cplusplus
}
#endif

#endif

这里只有NtCreateFile的定义,需要使用其他的函数的时候可以通过The Undocument Function -microsoft windows 2000 查找并添加进来 

第三步: 像系统的api一样开始调用吧,

还是可以看出第二种方法的优越性吧,主程序没有出现额外的语句,将所有的函数定义放在了一个头文件中,方便了移植

最后请注意NativeApiDef.h文件中的 extern "C" ,它是必须使用的,不然在链接的时候会出现下面的错误
error LNK2001: unresolved external symbol "__declspec(dllimport) long __stdcall
"无法解析的外部符号"
主要是C++ 和 C编译方式的不同造成的,C++支持重载机制当是这个问题的"罪魁祸首",关于extern "C" 我就不多说了