[發(fā)明專利]Native API函數(shù)重構(gòu)方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201310455970.6
• 申請(qǐng)日: 2013-09-29
• 公開（公告）號(hào): CN103530552A
• 公開（公告）日: 2014-01-22
• 發(fā)明（設(shè)計(jì)）人: 馮世杰
• 申請(qǐng)（專利權(quán)）人: 廣州華多網(wǎng)絡(luò)科技有限公司
• 主分類號(hào): G06F21/51
• 分類號(hào): G06F21/51
• 代理公司: 北京三高永信知識(shí)產(chǎn)權(quán)代理有限責(zé)任公司 11138
• 代理人: 張耀光

1.一種Native?API函數(shù)重構(gòu)方法，其特征在于，所述方法，包括：

獲取加載函數(shù)的系統(tǒng)調(diào)用號(hào)，所述加載函數(shù)用于將動(dòng)態(tài)鏈接庫(kù)NTDLL.DLL加載至內(nèi)存，所述NTDLL.DLL中包含Native?API函數(shù)；

將每個(gè)所述加載函數(shù)的系統(tǒng)調(diào)用號(hào)分別拷貝至與所述加載函數(shù)對(duì)應(yīng)的各個(gè)自定義加載函數(shù)的代碼體中，所述自定義加載函數(shù)位于用于執(zhí)行應(yīng)用程序的自定義代碼段中，所述自定義加載函數(shù)的代碼體中的初始代碼與所述加載函數(shù)中的代碼相同；

根據(jù)包含有所述加載函數(shù)的系統(tǒng)調(diào)用號(hào)的所述自定義加載函數(shù)將所述NTDLL.DLL加載至所述內(nèi)存的指定位置；

利用位于所述指定位置的NTDLL.DLL中的Native?API函數(shù)中的代碼分別重構(gòu)所述自定義代碼段內(nèi)與所述Native?API函數(shù)對(duì)應(yīng)的各個(gè)自定義Native?API函數(shù)中的代碼。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述根據(jù)包含有所述加載函數(shù)的系統(tǒng)調(diào)用號(hào)的所述自定義加載函數(shù)將所述NTDLL.DLL加載至所述內(nèi)存的指定位置之前，還包括：

獲取分配函數(shù)的系統(tǒng)調(diào)用號(hào)，所述分配函數(shù)用于為所述加載函數(shù)分配內(nèi)存讀寫執(zhí)行權(quán)限；

將所述分配函數(shù)的系統(tǒng)調(diào)用號(hào)拷貝到所述自定義分配函數(shù)的代碼體內(nèi)，所述自定義分配函數(shù)位于所述自定義代碼段中；

利用包含有所述分配函數(shù)的系統(tǒng)調(diào)用號(hào)的所述自定義分配函數(shù)為所述自定義加載函數(shù)分配內(nèi)存讀寫執(zhí)行權(quán)限。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述根據(jù)包含有所述加載函數(shù)的系統(tǒng)調(diào)用號(hào)的所述自定義加載函數(shù)將所述NTDLL.DLL加載至所述內(nèi)存的指定位置之前，還包括：

將用于調(diào)用內(nèi)核函數(shù)的公用代碼段拷貝到所述自定義代碼段中；

所述根據(jù)包含有所述加載函數(shù)的系統(tǒng)調(diào)用號(hào)的所述自定義加載函數(shù)將所述NTDLL.DLL加載至所述內(nèi)存的指定位置，包括：

根據(jù)包含有所述加載函數(shù)的系統(tǒng)調(diào)用號(hào)的所述自定義加載函數(shù)以及所述自定義代碼段中的所述公用代碼段將所述NTDLL.DLL加載至所述內(nèi)存的指定位置。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，在所述將用于調(diào)用內(nèi)核函數(shù)的公用代碼段拷貝到所述自定義代碼段中之前，還包括：

遍歷內(nèi)存中NTDLL的導(dǎo)出表，獲取指定的測(cè)試函數(shù)的起始地址；

根據(jù)所述測(cè)試函數(shù)的起始地址調(diào)用所述測(cè)試函數(shù)以獲取系統(tǒng)類型；

所述將用于調(diào)用內(nèi)核函數(shù)的公用代碼段拷貝到所述自定義代碼段中，包括：

根據(jù)所述系統(tǒng)類型將用于調(diào)用與所述系統(tǒng)類型對(duì)應(yīng)的內(nèi)核函數(shù)的公用代碼段拷貝至所述自定義代碼段中。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述系統(tǒng)類型為64位WOW64模式、32位或64位，所述根據(jù)所述系統(tǒng)類型將用于調(diào)用與所述系統(tǒng)類型對(duì)應(yīng)的內(nèi)核函數(shù)的公用代碼段拷貝至所述自定義代碼段中，包括：

當(dāng)所述系統(tǒng)類型為64位WOW64模式時(shí)，將用于調(diào)用64位WOW64模式的內(nèi)核函數(shù)的公用代碼段拷貝到所述自定義代碼段中的第一指定位置；

或者，

當(dāng)所述系統(tǒng)類型為32位時(shí)，將用于調(diào)用32位的內(nèi)核函數(shù)的公用代碼段拷貝到所述自定義代碼段中的第二指定位置；

或者，

當(dāng)所述系統(tǒng)類型為64位時(shí)，將用于調(diào)用64位的內(nèi)核函數(shù)的公用代碼段拷貝到所述自定義代碼段中的第三指定位置。

6.一種Native?API函數(shù)重構(gòu)裝置，其特征在于，所述裝置，包括：

第一獲取模塊，用于獲取加載函數(shù)的系統(tǒng)調(diào)用號(hào)，所述加載函數(shù)用于將動(dòng)態(tài)鏈接庫(kù)NTDLL.DLL加載至內(nèi)存，所述NTDLL.DLL中包含Native?API函數(shù)；

第一拷貝模塊，用于將每個(gè)所述加載函數(shù)的系統(tǒng)調(diào)用號(hào)分別拷貝至與所述加載函數(shù)對(duì)應(yīng)的各個(gè)自定義加載函數(shù)的代碼體中，所述自定義加載函數(shù)位于用于執(zhí)行應(yīng)用程序的自定義代碼段中，所述自定義加載函數(shù)的代碼體中的初始代碼與所述加載函數(shù)中的代碼相同；

加載模塊，用于根據(jù)包含有所述加載函數(shù)的系統(tǒng)調(diào)用號(hào)的所述自定義加載函數(shù)將所述NTDLL.DLL加載至所述內(nèi)存的指定位置；

重構(gòu)模塊，用于利用位于所述指定位置的NTDLL.DLL中的Native?API函數(shù)中的代碼分別重構(gòu)所述自定義代碼段內(nèi)與所述Native?API函數(shù)對(duì)應(yīng)的各個(gè)自定義Native?API函數(shù)中的代碼。