Discussion :

[risk69]

bonjour je suis en train de creer en soft en c , je me demande si on peut extraire du handle des information comme par exemple la structure IMAGE_FILE_HEADER pour diverse utilité ,en gros d'ou extraire les info , et comment
en gros comment utiliser une structure typedef :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
 
typedef struct _IMAGE_NT_HEADERS {
  DWORD                   Signature;
  IMAGE_FILE_HEADER       FileHeader;
  IMAGE_OPTIONAL_HEADER32 OptionalHeader;
} IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

en gros comment faire pour utiliser cette structure ? comment l'initialiser merci de vos reponse

[Médinoc]

Ça dépend des infos que tu veux, et à quoi tu veux accéder.
Par exemple, je ne sais pas lire les infos de débogage, mais il est possible de lire les ressources d'un exécutable.

Dans la structure IMAGE_FILE_HEADER elle-même, les infos les plus utiles "telles quelles" seront la timestamp de l'éditeur de liens (TimeDateStamp), qui indique quand l'exécutable a été compilé (sauf quand ce n'est pas le cas) et la "machine", qui indique la bitness de l'exécutable.
Après, il faut creuser plus: SizeOfOptionalHeader et NumberOfSections indiquent la position et la taille de la table des sections, indispensable pour pouvoir lire quoi que ce soit d'intéressant (et si l'exécutable n'est pas mappé en mémoire, indispensable pour convertir une Relative Virtual Address (RVA) en offset dans le fichier).

[risk69]

je veux lister les section et savoir a quel adresse est l l'OEP donc lesinfo que je veux sont dans IMAGE_FILE_HEADER

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
IMAGE_FILE_HEADER       FileHeader;

peut on a partir d'un handle utilier la structure pour avoir : la taille de l'imagebase ,le nombre de section , etc ... et comment? un petit code en exemple m'aiderait beaucoup .
je precise que j'obtient l'handle avec openprocess , je n'est pas compris l'histoire du timestamp*
Merci de vos reponse

[Médinoc]

Un HANDLE de processus ne donne pas directement accès aux structures de données de l'exécutable. Toutefois il donne accès à EnumProcessModules(), qui lui donne plus ou moins accès (tu auras besoin de ReadProcessMemory() pour obtenir les infos).

[risk69]

comment avoir accès aux structures de données de l'exécutable en execution et comment les lister ?(avec un code pour plus de comprehension )
je pensait que avec le handle du process on pouvait le faire
merci de vos futur reponse

[Médinoc]

Pour avoir accès à tes propres données, c'est là le plus simple: Utiliser le HMODULE de l'exécutable du processus courant, qui correspond à l'adresses de base où l'exécutable est chargé (du moins le début de l'exécutable, car ce qui suit la table des sections est géré un peu différemment).
On obtient ce HMODULE avec GetModuleHandle(NULL).

[risk69]

un truc du style :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
 
HANDLE file ;
file=OpenProcess(PROCESS_VM_READ,TRUE,a);
HMODULE a ;
a= GetModuleHandle(file);
// avec a on peut trouver les " structures de données de l'exécutable en execution ", si oui comment ?

je ne pense pas trop car Openprocess() retourne un handle alors que GetModuleHandle accepte un lpModuleName(adresse du module dont on doit retourne sont handle pas un handle d'apres win32.chm (la doc )) bref comment retrouver le lpModuleName
du process en execution , et
depuis GetModuleHandle comment avoir acces au IMAGE_FILE_HEADER ?
avec a on peut trouver les " structures de données de l'exécutable en execution ", si oui ? comment avoir IMAGE_FILE_HEADER ?

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
 
IMAGE_FILE_HEADER       FileHeader;
a.FileHeader ; //comme sa ?

[Médinoc]

Comme je l'ai dit, pour le processus actuel, c'est très différent d'un processus "autre".
Pour le processus actuel, ceci suffit:

Code C :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
HMODULE hModExe = GetModuleHandle(NULL);
unsigned char * pExeStart = (unsigned char*)hModExe;
IMAGE_DOS_HEADER * pFirstHeader = (IMAGE_DOS_HEADER *)hModExe;
IMAGE_FILE_HEADER * pPEHeader = (IMAGE_FILE_HEADER*)(pExeStart + pFirstHeader->e_lfanew);

Pour un autre processus c'est beaucoup plus dur, il faut récupérer l'adresse avec EnumProcessModules(), faire des lectures via ReadProcessMemory()...

[risk69]

excuse mais tu aurai un code pour m'aider :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
Pour un autre processus c'est beaucoup plus dur, il faut récupérer l'adresse avec EnumProcessModules(), faire des lectures via ReadProcessMemory()

c'est ce je veux faire mais je vois pas comment et c'est quoi un module ?

[Médinoc]

Du point de vue de Windows, un "module", c'est un exe ou DLL chargé dans la mémoire d'un processus.
Et désolé je n'ai pas d'exemple de code, je n'ai jamais utilisé EnumProcessModules().

Edit: Oh, et sous Windows 64 Bits, ça va être la galère si le processus qui lit la mémoire des autres n'est pas lui-même en 64 bits (parce que ReadProcessMemory() appelé depuis un processus 32 bits n'accepte que des pointeurs "distants" 32 bits).

[risk69]

Du point de vue de Windows, un "module", c'est un exe ou DLL chargé dans la mémoire d'un processus.

par exe charger dans la memoire tu veux quoi ? son code ? c'est grace au module qu'on a le code du processus ou le code est dans le thread ?

[kaitlyn]

comment avoir accès aux structures de données de l'exécutable en execution et comment les lister ?(avec un code pour plus de comprehension )

Regarde les deux excellents articles de Matt Pietrek (http://www.wheaty.net/) au sujet du
format PE ainsi que le code source de PEDUMP.

[Médinoc]

par exe charger dans la memoire tu veux quoi ? son code ? c'est grace au module qu'on a le code du processus ou le code est dans le thread ?

Son code, ses données, ses "ressources", ses informations de débogage, de relocation, etc. Pour autant que je sache, tout le contenu du fichier .exe ou .dll est mappé en mémoire (mais pas d'un seul tenant) dans le processus (sauf peut-être dans des cas spéciaux où des données se trouvent hors des sections).

Le thread lui, contient relativement peu: Une pile et une copie des registres (contexte d'exécution, dont fait partie le pointeur d'instruction), c'est pour ça qu'il peut y avoir si facilement plusieurs threads dans un même processus.