windows 64bit进程PEB找不到Xaml之类的dll

DQQQQQ · 发表于 2022-4-13 11:18

本帖最后由 DQQQQQ 于 2022-4-16 15:52 编辑

最近写程序时候，要去找进程加载的dll　路径，基地址，以及大小。
但是遇到一个问题就是部分DLL居然从PEB上面找不到，难道微软自己也搞PEB断链???
我用Vmmap ProcessExp都可以看到这些dll.为啥这个就不行呢？

下面是分析过程

1. 先看win10的计算器截图

2.用windbg查看PEB，可以看到这几个文件是找不到的。

3. 那么这个dll。到底有什么特别之处呢？为啥会看不到呢，我们先去看看这几个dll有啥特别之处。先用depends看看这个dll的结构。从下面一眼就可以看出来这个是一个32bit的COM的dll

4.到这里，我们猜测他可能是PEB断链之类的DLL。但是为啥vmmap就可以看到呢。用x64dbg附加调试vmmap.　注意这里有一个header，有理由根据这个header去x64dbg搜索(我自己常用vmmap因此知道，出现header其他地方应该没有，或者很少)

5.X64dbg搜索结果

6. 只有一个地方出现了header，下断点调试

7.开始调试调试发现，获取到dll路径是下面的API GetMappedFileName

8.更进一步查看这个API的实现

可以看到其实核心的就在于ntdll.dll 　ZwQueryVirtualMemory　。继续调试发现ZwQueryVirtualMemory　和 NtQueryVirtualMemory 居然是位于同一个地址上面. 下面是NtQueryVirtualMemory函数的讲解https://blog.csdn.net/OtishionO/article/details/8521634 因此想要获取上面那几个dll的路径，基地址，模块大小，方法就来了。先用VirtualQueryEx函数去遍历内存，找到type是MEM_IMAGE的内存。然后使用NtQueryVirtualMemory,获取路径.

happyBread · 发表于 2022-4-14 23:53

牛逼，感谢分享遍历模块的思路

DQQQQQ · 发表于 2022-4-16 14:52

happyBread 发表于 2022-4-14 23:53
牛逼，感谢分享遍历模块的思路

谢谢支持，只是分享自己思路。还有遇到问题的解决方法

h81632468 · 发表于 2022-4-24 23:34

为什么你这么聪明大佬5555

zsdsun · 发表于 2022-4-28 22:59

膜拜小生

yangleiily · 发表于 2023-12-2 23:27

主楼你太厉害了，学习中

Drow · 发表于 2024-8-7 11:22

确实是个好工具，Mark一下，可以解决很多问题

mxn007 · 发表于 2024-9-6 06:48

确实是个好工具，Mark

光影由心 · 发表于 2024-9-7 08:55

好使，顶一个

rmb788520 · 发表于 2024-11-14 08:13

顶一下。支持楼主，谢谢楼主分享

帐号		自动登录	找回密码
密码			注册[Register]

[调试逆向] windows 64bit进程PEB找不到Xaml之类的dll

免费评分