当前位置：首页 > news >正文

Windows API哈希扫描技术原理与实现

news 2026/7/16 11:25:23

1. 为什么需要Hash扫描获取API函数地址

在Windows系统编程中，我们经常需要调用系统API函数。传统方式是直接使用函数名通过GetProcAddress获取地址，但这种方式存在明显缺陷：

安全软件会监控敏感API的调用，通过函数名字符串匹配检测可疑行为
函数名直接暴露在二进制文件中，容易被静态分析工具识别
不同系统版本可能导致函数名变化（如后缀A/W）

Hash扫描技术通过计算API名称的哈希值来定位函数地址，相比传统方式具有以下优势：

二进制文件中只存储哈希值，不暴露原始函数名
哈希比较比字符串匹配更高效
可绕过基于字符串匹配的安全检测
代码体积更小，适合shellcode等场景

2. 核心实现原理

2.1 PE文件结构解析

Windows可执行文件采用PE格式，关键结构包括：

DOS头：包含e_lfanew字段指向NT头
NT头：包含OptionalHeader.DataDirectory导出表RVA
导出表：包含三个关键数组：
- AddressOfFunctions：函数地址数组
- AddressOfNames：函数名指针数组
- AddressOfNameOrdinals：名称序号数组

2.2 哈希算法选择

常用哈希算法要求：

计算简单快速
碰撞概率低
结果固定长度

示例实现的旋转哈希算法：

#define ROTR32(value, shift) (((DWORD)value >> (BYTE)shift) | ((DWORD)value << (32 - (BYTE)shift))) DWORD CalculateHash(PCSTR str) { DWORD hash = 0; while (*str) { hash = ROTR32(hash, 13); hash += *str++; } return hash; }

2.3 模块遍历流程

通过PEB获取加载模块列表
遍历每个模块的导出表
对每个导出函数名计算哈希
与目标哈希值比较
匹配成功则返回函数地址

3. 完整实现代码解析

3.1 关键数据结构定义

typedef struct _MY_PEB_LDR_DATA { ULONG Length; BOOL Initialized; PVOID SsHandle; LIST_ENTRY InLoadOrderModuleList; // ...其他字段 } MY_PEB_LDR_DATA; typedef struct _MY_LDR_DATA_TABLE_ENTRY { LIST_ENTRY InLoadOrderLinks; PVOID DllBase; UNICODE_STRING BaseDllName; // ...其他字段 } MY_LDR_DATA_TABLE_ENTRY;

3.2 核心查找函数

HMODULE GetProcAddressWithHash(DWORD dwModuleFunctionHash) { // 获取PEB地址（不同架构方式不同） #if defined(_WIN64) PPEB PebAddress = (PPEB)__readgsqword(0x60); #else PPEB PebAddress = (PPEB)__readfsdword(0x30); #endif // 遍历模块列表 PMY_PEB_LDR_DATA pLdr = (PMY_PEB_LDR_DATA)PebAddress->Ldr; PLIST_ENTRY pNextModule = pLdr->InLoadOrderModuleList.Flink; while (pNextModule != NULL) { PMY_LDR_DATA_TABLE_ENTRY pEntry = CONTAINING_RECORD(pNextModule, MY_LDR_DATA_TABLE_ENTRY, InLoadOrderLinks); // 解析PE导出表 PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)pEntry->DllBase; PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((BYTE*)pDosHeader + pDosHeader->e_lfanew); // 检查导出表是否存在 DWORD exportRVA = pNtHeader->OptionalHeader.DataDirectory[0].VirtualAddress; if (exportRVA == 0) continue; PIMAGE_EXPORT_DIRECTORY pExportDir = (PIMAGE_EXPORT_DIRECTORY)((BYTE*)pDosHeader + exportRVA); // 计算模块名称哈希 DWORD dwModuleHash = CalculateModuleHash(pEntry->BaseDllName); // 遍历导出函数 PDWORD pNames = (PDWORD)((BYTE*)pDosHeader + pExportDir->AddressOfNames); for (DWORD i = 0; i < pExportDir->NumberOfNames; i++) { PCSTR pFuncName = (PCSTR)((BYTE*)pDosHeader + pNames[i]); DWORD dwFuncHash = CalculateHash(pFuncName) + dwModuleHash; if (dwFuncHash == dwModuleFunctionHash) { // 找到匹配函数，返回地址 PWORD pOrdinals = (PWORD)((BYTE*)pDosHeader + pExportDir->AddressOfNameOrdinals); PDWORD pFunctions = (PDWORD)((BYTE*)pDosHeader + pExportDir->AddressOfFunctions); return (HMODULE)((BYTE*)pDosHeader + pFunctions[pOrdinals[i]]); } } pNextModule = pNextModule->Flink; } return NULL; }