工具

1、靜態分析：IDA PRO

2、動態分析：Ollydbg/X32dbg/windbg

3、ARK工具：PCHunter

環境

1、虛擬機：VMware WORKSTATION 14 PRO

2、系統版本：win7專業版

知識背景

1、Windows的應用層基礎知識：《Windows核心編程》

2、Windows的內核的基礎知識：《Windows內核情景分析》

目標

研究win7系統下通過CreateProcess所創建的進程的所有函數執行流程（R3到R0的函數調用的大致整體流程）

思路

1、進程的本質，有哪些基本內容，需要哪些資源？

答：

本質：一個程序實際還是一段數據，管理的方式還是目錄+內容，即內核對象+程序空間，以內核中的EPROCESS為目錄，到CR3衍生的用戶的虛擬地址空間的PE文件映像。

內容：

（1）一個進程會有一個系統分配的主線程主要運行代碼。

（2）有一段虛擬內存空間，里面映射著PE文件內容。

（3）對應的一個內核對象，EPROCESS結構體。

2、R3環和R0的函數分別是如何調用的，分別有哪些和進程相關的函數？

答：

R3環：

CreateProcess

OpenProcess

CreateFile

.......

R3環下有程序主動調用API，dll可以看做是R3下底層，API的簡單實現在其中體現，dll中還會為進入R0環做一些準備工作。

R0環：

NTCreateProcess

NTCreateUserProcess

........

R0環下通過ETHREAD結構的ServiceTable找到SSDT或ShadowSSDT，通過R3環準備的參數和索引來進行函數調用。

ps:Wows系統設計思路也是面向對象，所以如果把函數當成對象來看其實每個函數都是由其它得函數組成的。

CreateProcessW

==> CreateProcessInternalW==> ZwCreateUserProcess==>

KiFastSystemCall==> KiFastCallEntry==> NtCreateUserProcess

3.R3環如何切換到R0環，R0如何返回R3環？

答：

（1）int 0X2E：

老版的進入方式，通過中斷門主動調用KiSystemService來完成系統服務調用，和int 3對應KiTrap03類似。

KiSystemCallExit：iret返回

（2）SYSENTER：

較新的進入方式，通過該特權指令切換寄存器（EIP/SS/CS/ESP）來進入R0環，KiSystemCallExit2：SYSEXIT返回

4、R0環調用函數的索引如何獲取？

答：

系統在進入R0環之前就做了很多檢查和準備，例如：后期用到的索引就是在進入R0環之前就存儲在EAX寄存器中，進入R0環只會切換關鍵寄存器來達到切換地址的目的，而EAX的值不會變化，索引就可以在R0下被訪問到。

知識點

1.進程的創建流程。

2.動態鏈接庫的調用。

3.系統服務描述符表的調用。

4.進程的虛擬地址空間(CR3寄存器)。

5.內核對象，例如：EPROCESS(據說搞定這個結構體就相當于搞定了大半個windows系統)、ETHREAD、KPCR、KPCRB。

6.R3環和R0環的交互。

分許步驟

1、整理以上知識點就得到了如下分析流程：

2、編寫程序

通過CreateProcess創建一個目標進程

#include "stdafx.h"

#include

#define Path L".\FileCleaner2.0.exe"

int _tmain(int argc, _TCHAR* argv[])

{

STARTUPINFO si={ sizeof(si) };

PROCESS_INFORMATION pi;

BOOL bRet=CreateProcess(Path,NULL,NULL,NULL,FALSE,NULL,NULL,NULL,&si,&pi);

return 0;

}

3、調試程序（R3/R0）

3.1 R3環

OD調試R3下調試程序得到如下流程：

R3-1：CreateProcessW（main函數）

R3-2： CreateProcessInternalW（Kernel.dll模塊）

1：ZwCreateUserProcess

2：KiFastSystemCall

3：SYSENTER

4.ZwResumeThread

R3-3：_CheckEsp

ps：其實可以直接在IDA中直接查看Kernel32.dll的函數實現。

3.2 R0環

R0環下windbg調式對新手用戶并不友好，故而只用它找到CreateUserProcess的函數地址就可，然后在IDA中查看CreateUserProcess 的具體實現。

分析時盡量保證SSDT沒有被HOOK，減少不必要的干擾。（找到函數的具體反匯編后就看個人的匯編的熟練程度了）

公式如下：

==> 偏移=函數地址-加載基址(ntkrnlpa.exe)

==> IDA的函數地址=偏移+0x400000(默認加載基址)。

PCHunter查看

1.ntkrnlpa的加載基址：0x84048000

2.SSDT 表中 CreateUserProcess 的原始函數地址：0x84298DE0

windbg調試：

1.dd KeServiceDescriptorTable

2.dds 840b76f0 +5d*4

IDA查看：

函數地址=0x8429dde0-0x84048000 + 0x400000=0x655DE0

1.NtCreateUserProcess未導出：

2.對比IDA和windbg的反匯編的函數內容

IDA

windbg

ps：可以將一個程序的組成看成：函數+執行邏輯，如果將系統看成一個巨大無比的程序，那么分析它也是可以從這兩方面入手。

本次只是簡單的分析了一個函數的執行流程，期間的函數實現會在開新貼進行具體分析，如：CreateProcessInternalW、NtCreateUserProcess、KiFastCallEntry等。

總結

總之分析學習一項比較龐大的東西的時候，我覺的要觀察它的幾個主要行為作為主線，然后在主線中慢慢的發展一些支線來加深自己的理解，對我而言是提升比較快的方式。

例如：學習Windows系統時分R3/R0去拆解，然后以進程的整個生命的生存周期為例子，利用現有的知識量去去實踐去拓展。

所以就有了這篇帖子的誕生，算是為以后學習內核或是其他windowsAPI調用亦或是其他的一些事物提供一個思路，我不是方法論的崇拜者，但是好的方法、習慣的確可以事半功倍。

ps：~~共勉~~輕噴~~

原文鏈接：[原創]新手--win32程序的半生(CreateProcess)-『軟件逆向』-看雪安全論壇

本文由看雪論壇 Weaving 原創

轉載請注明來自看雪社區