TLS隐藏的入口点

TLS简介

_declspec(thread)  int g_nData = 0;

// --------------------------------------------------------------------------------------------------------
#include <windows.h> 
#include <stdio.h> 
 
#define THREADCOUNT 4 
DWORD dwTlsIndex; 
 
int iNUM_OF_CALL_COMMON=0;
int iNUM_OF_CALL_THREAD=0;
 
VOID ErrorExit(LPSTR); 
 
VOID CommonFunc(VOID) 
{ 
   LPVOID lpvData; 
 // Retrieve a data pointer for the current thread. 
 iNUM_OF_CALL_COMMON++;
 
   lpvData = TlsGetValue(dwTlsIndex); 
   if ((lpvData == 0) && (GetLastError() != ERROR_SUCCESS)) 
      ErrorExit("TlsGetValue error"); 
 
// Use the data stored for the current thread. 
    printf("common: thread %d: lpvData=%lx\n", 
      GetCurrentThreadId(), lpvData); 
 
   Sleep(5000); 
} 
 
DWORD WINAPI ThreadFunc(VOID) 
{ 
   LPVOID lpvData; 
 
// Initialize the TLS index for this thread. 
 iNUM_OF_CALL_THREAD++;
 
   lpvData = (LPVOID) LocalAlloc(LPTR, 256); 
   if (! TlsSetValue(dwTlsIndex, lpvData)) 
      ErrorExit("TlsSetValue error"); 
 
   printf("thread %d: lpvData=%lx\n", GetCurrentThreadId(), lpvData); 
 
   CommonFunc(); 
 
// Release the dynamic memory before the thread returns. 
    lpvData = TlsGetValue(dwTlsIndex); 
   if (lpvData != 0) 
      LocalFree((HLOCAL) lpvData); 
 
   return 0; 
} 
 
int main(VOID) 
{ 
   DWORD IDThread; 
   HANDLE hThread[THREADCOUNT]; 
   int i; 
 
// Allocate a TLS index. 
    if ((dwTlsIndex = TlsAlloc()) == TLS_OUT_OF_INDEXES) 
      ErrorExit("TlsAlloc failed"); 
 
// Create multiple threads. 
    for (i = 0; i < THREADCOUNT; i++) 
   { 
      hThread[i] = CreateThread(NULL, // default security attributes 
         0,                           // use default stack size 
         (LPTHREAD_START_ROUTINE) ThreadFunc, // thread function 
         NULL,                    // no thread function argument 
         0,                       // use default creation flags 
         &IDThread);              // returns thread identifier 
 
   // Check the return value for success. 
      if (hThread[i] == NULL) 
         ErrorExit("CreateThread error\n"); 
   } 
 
  // printf("All threads were created.\n");
   for (i = 0; i < THREADCOUNT; i++) 
      WaitForSingleObject(hThread[i], INFINITE); 
 
   TlsFree(dwTlsIndex);
 
   printf("The nums of thread is: %d\n",iNUM_OF_CALL_THREAD);
   printf("The nums of call is: %d\n",iNUM_OF_CALL_COMMON);
 
   return 0; 
} 
 
VOID ErrorExit (LPSTR lpszMessage) 
{  
   fprintf(stderr, "%s\n", lpszMessage); 
   ExitProcess(0); 
}  
// --------------------------------------------------------------------------------------------------------

图1 用于管理T L S的内部数据结构

typedef  struct _TEB  {
NT_TIB Tib;
PVOID EnvironmentPointer;
CLIENT_ID Cid;
PVOID ActiveRpcInfo;
PVOID ThreadLocalStoragePointer; ; 2ch
PPEB Peb; ; 30h
ULONG LastErrorValue; ; 34h
…}

Tls隐藏的入口点利用

；----------------------------------------------------------------
 
. 386
 
.model flat,stdcall
 
option casemap:none
 
 
 
include windows.inc
 
include user32.inc
 
 
 
includelib user32.lib
 
 
 
.code
 
start:
 
jmp  @F
 
 
 
db  ' Run thru Tls entry point. ', 0
 
@@: 
 
mov eax,$
 
sub eax, 26
 
call  @delta
 
@delta:
 
pop ebp
 
sub ebp,offset  @delta
 
add eax,ebp
 
invoke MessageBox,NULL,eax,NULL, 0
 
ret
 
end start
 
；----------------------------------------------------------------