Panggilan Sistem di windows & API Asli?

Jika Anda melakukan pemrograman perakitan di Windows, Anda tidak melakukan syscall manual. Anda menggunakan NTDLL dan API Asli untuk melakukannya untuk Anda.

Native API hanyalah pembungkus sisi kernelmode. Yang dilakukannya hanyalah melakukan syscall untuk API yang benar.

Anda TIDAK PERNAH perlu melakukan syscall secara manual sehingga seluruh pertanyaan Anda menjadi mubazir.

Kode syscall Linux tidak berubah, begitu pula Windows, itulah mengapa Anda perlu bekerja melalui lapisan abstraksi tambahan (alias NTDLL).

Sunting:

Selain itu, meskipun Anda bekerja di tingkat perakitan, Anda masih memiliki akses penuh ke API Win32, tidak ada alasan untuk menggunakan API NT sejak awal! Impor, ekspor, dll semuanya berfungsi dengan baik di program perakitan.

EDIT2:

Jika Anda BENAR-BENAR ingin melakukan syscall manual, Anda perlu membalikkan NTDLL untuk setiap versi Windows yang relevan, menambahkan deteksi versi (melalui PEB), dan melakukan pencarian syscall untuk setiap panggilan.

Namun, itu konyol. NTDLL ada karena suatu alasan.

Orang-orang telah melakukan bagian rekayasa balik: lihat https://j00ru.vexillium.org/syscalls/nt/64/ untuk tabel nomor panggilan sistem untuk setiap kernel Windows. (Perhatikan bahwa baris selanjutnya berubah bahkan antar versi Windows 10.) Sekali lagi, ini adalah ide buruk di luar eksperimen yang hanya digunakan untuk keperluan pribadi di mesin Anda sendiri untuk mempelajari lebih lanjut tentang asm dan/atau internal Windows. Jangan memasukkan panggilan sistem ke dalam kode yang Anda distribusikan ke orang lain.

Hal lain yang perlu Anda ketahui tentang konvensi syscall windows adalah seperti yang saya pahami, tabel syscall dibuat sebagai bagian dari proses pembangunan. Ini berarti bahwa mereka dapat berubah begitu saja - tidak ada yang melacaknya. Jika seseorang menambahkan yang baru di bagian atas daftar, itu tidak masalah. NTDLL masih berfungsi, jadi semua orang yang menelepon NTDLL masih berfungsi.

Bahkan mekanisme yang digunakan untuk melakukan syscall (yaitu int, atau sysenter) tidak tetap dan telah berubah di masa lalu, dan menurut saya pada suatu waktu versi windows yang sama menggunakan DLL berbeda yang menggunakan mekanisme entri berbeda tergantung pada CPU di dalam mesin.

Saya tertarik melakukan panggilan API Windows di Majelis tanpa impor (sebagai latihan pendidikan), jadi saya menulis Majelis FASM berikut untuk melakukan apa yang dilakukan NtDll!NtCreateFile. Ini adalah demonstrasi kasar pada Windows versi 64-bit saya (Win10 1803 Versi 10.0.17134), dan crash setelah panggilan, tetapi nilai kembalian syscall adalah nol sehingga berhasil. Semuanya diatur sesuai konvensi panggilan Windows x64, kemudian nomor panggilan sistem dimuat ke RAX, dan kemudian instruksi perakitan syscall untuk menjalankan panggilan. Contoh saya membuat file c:\HelloWorldFile_FASM, sehingga harus dijalankan "sebagai administrator".

format PE64 GUI 4.0


entry start


section '.text' code readable executable


 start: 
 ;puting the first four parameters into the right registers

                            mov rcx, _Handle
                            mov rdx, [_access_mask]
                            mov r8, objectAttributes
                            mov r9, ioStatusBlock

 ;I think we need 1 stack word of padding:

                            push 0x0DF0AD8B


 ;pushing the other params in reverse order:

                            push [_eaLength]
                            push [_eaBuffer]
                            push [_createOptions]
                            push [_createDisposition]
                            push [_shareAcceses]
                            push [_fileAttributes]
                            push [_pLargeInterger]

 ;adding the shadow space (4x8)

 ;                               push 0x0
 ;                               push 0x0
 ;                               push 0x0
 ;                               push 0x0

 ;pushing the 4 register params into the shadow space for ease of debugging

                            push r9
                            push r8
                            push rdx
                            push rcx

 ;now pushing the return address to the stack:

                            push endOfProgram

                            mov r10, rcx ;copied from ntdll!NtCreateFile, not sure of the reason for this
                            mov eax, 0x55
                            syscall

 endOfProgram:
                            retn




 section '.data' data readable writeable

 ;parameters------------------------------------------------------------------------------------------------

 _Handle                         dq      0x0
 _access_mask                    dq      0x00000000c0100080
 _pObjectAttributes              dq      objectAttributes        ; at 00402058
 _pIoStatusBlock                 dq           ioStatusBlock
 _pLargeInterger                 dq      0x0
 _fileAttributes                 dq      0x0000000000000080
 _shareAcceses                   dq      0x0000000000000002
 _createDisposition              dq      0x0000000000000005
 _createOptions                  dq      0x0000000000000060
 _eaBuffer                       dq      0x0000000000000000       ; "optional" param
 _eaLength                       dq      0x0000000000000000

 ;----------------------------------------------------------------------------------------------------------


                            align   16
 objectAttributes:
 _oalength                       dq      0x30
 _rootDirectory                  dq      0x0
 _objectName                     dq           unicodeString
 _attributes                     dq      0x40
 _pSecurityDescriptor            dq      0x0
 _pSecurityQualityOfService      dq      securityQualityOfService


 unicodeString:
 _unicodeStringLength            dw      0x34
 _unicodeStringMaxumiumLength    dw      0x34, 0x0, 0x0
 _pUnicodeStringBuffer           dq      _unicodeStringBuffer


 _unicodeStringBuffer            du      '\??\c:\HelloWorldFile_FASM'       ; may need to "run as adinistrator" for the file create to work.



 ioStatusBlock:
 _status_pointer                 dq      0x0
 _information                    dq      0x0


 securityQualityOfService:
 _sqlength                       dd      0xC
 _impersonationLevel             dd      0x2
 _contextTrackingMode            db      0x1
 _effectiveOnly                  db      0x1, 0x0, 0x0

Saya menggunakan dokumentasi untuk Ntdll!NtCreateFile, dan saya juga menggunakan debugger kernel untuk melihat dan menyalin banyak parameter.

__kernel_entry NTSTATUS NtCreateFile(
  OUT PHANDLE                      FileHandle,
  IN ACCESS_MASK                   DesiredAccess,
  IN POBJECT_ATTRIBUTES            ObjectAttributes,
  OUT PIO_STATUS_BLOCK             IoStatusBlock,
  IN PLARGE_INTEGER AllocationSize OPTIONAL,
  IN ULONG                         FileAttributes,
  IN ULONG                         ShareAccess,
  IN ULONG                         CreateDisposition,
  IN ULONG                         CreateOptions,
  IN PVOID EaBuffer                OPTIONAL,
  IN ULONG                         EaLength
);

Panggilan sistem Windows dilakukan dengan memanggil DLL sistem seperti kernel32.dll atau gdi32.dll, yang dilakukan dengan panggilan subrutin biasa. Mekanisme untuk menjebak ke dalam lapisan istimewa OS tidak terdokumentasi, tapi tidak apa-apa karena DLL seperti kernel32.dll melakukan ini untuk Anda.

Dan dengan panggilan sistem, yang saya maksud adalah titik masuk Windows API yang terdokumentasi seperti CreateProcess() atau GetWindowText(). Driver perangkat umumnya akan menggunakan API yang berbeda dari Windows DDK.

Konvensi Panggilan RESMI di Windows: http://msdn.microsoft.com/en-us/library/7kcdt6fy.aspx

(semoga tautan ini bertahan di masa mendatang; jika tidak, cari saja "Konvensi Perangkat Lunak x64" di MSDN).

Konvensi pemanggilan fungsi berbeda di Linux & Windows x86_64. Di kedua ABI, parameter sebaiknya dilewatkan melalui register, namun register yang digunakan berbeda. Lebih lanjut tentang ABI Linux dapat ditemukan di http://www.x86-64.org/documentation/abi.pdf