2

Пускай в процессе A.exe есть функция

int _stdcall func(int a);

по адресу 0x1234. Нам надо вызвать её из другого процесса. Делается это так

CreateRemoteThread(hProcess, 0, 0, (LPTHREAD_START_ROUTINE)0x1234, (void*)100, 0, 0);

В адресном пространстве A.exe начинает выполняться функция func(100) в отдельном потоке. Теперь я хочу вызвать системную функцию. Например, узнать виртуальный адрес программы, вызвав GetModuleHandleA(NULL):

HMODULE hModule = GetModuleHandleA("kernel32.dll");
void *func = GetProcAddress(hModule, "GetModuleHandleA");
HANDLE ThreadID = CreateRemoteThread(hProcess, 0, 0, (LPTHREAD_START_ROUTINE)func, 0, 0, 0);
WaitForSingleObject(ThreadID, INFINITE);
void *baseAddr;
GetExitCodeThread(ThreadID, (LPDWORD)&baseAddr);

Как получается, что функция GetModuleHandleA имеет одинаковый адрес в разных процессах? Всегда ли такой код будет работать корректно?
Проверил, что во всех процессах адрес библиотеки kernel32 имеет одинаковый адрес. Скомпилировал программу, у которой базовый адрес совпадает с адресом библиотеки. Приложение не запускалось с кодом 0xc0000018 - конфликт указанного диапазона адресов и адресного пространства.

2 ответа 2

1

Если программа 32-битная, а адрес отрицательный и система не запущена в режиме /3GB или программа, в которой определялся адрес не поддерживает работу в этом режиме, то он будет одинаков во всех процессах. Здесь имеется в виду именно одинаковость для разных процессов, но не константность адреса.

По крайней мере, я так думаю.

Подробнее о памяти в Windows.

4
  • Вроде бы Microsoft добавила ASLR даже для адресов в области ядра: habrahabr.ru/company/eset/blog/282744.
    – VladD
    10 мая 2016 в 20:13
  • Отрицательный адрес? Это который выше 0x7FFFFFFF? 10 мая 2016 в 20:55
  • @ВладимирМартьянов, да.
    – Qwertiy
    10 мая 2016 в 20:56
  • Адреса библиотек и доступные функции из них близки к границе 0x7FFFFFFF, но не заходят за неё 11 мая 2016 в 4:14
0

Библиотека kernel32.dll действительно имеет одинаковый базовый адрес во всех процессах, так сделано специально. Это поведение не документировано, но хорошо известно, и многие программы полагаются на это. Это нужно как раз для того, чтобы отладчики и профилировщики могли загрузить свою DLL в адресное пространство исследуемого процесса, передав адрес LoadLibrary в CreateRemoteThread.

Начиная с Windows Vista, для системных библиотек действует ASLR, но случайный базовый адрес все равно одинаков для всех процессов и определяется в момент загрузки системы.

Источник: Why are certain DLLs required to be at the same base address system-wide?

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.