轉(zhuǎn)載自：
http://bbs.pediy.com/showthread.php?p=442958
TLS簡介
1. 什么是TLS？
TLS是Thread Local Storage（線程局部存儲）的簡稱，是一項解決多線程內(nèi)部變量使用問題的技術(shù)。用于將某些數(shù)據(jù)和一特定線程關(guān)聯(lián)起來，即，這些數(shù)據(jù)為關(guān)聯(lián)線程所獨有（私有）。在多線程編程中, 同一個變量, 如果要讓多個線程共享訪問, 那么這個變量可以使用關(guān)鍵字volatile進行聲明; 而如果一個變量不想被多個線程共享訪問, 那么就應(yīng)該使用TLS。
2. 如何使用TLS編程？
TLS使用非常簡單, 只要對變量聲明時使用__declspec(thread)修飾就可以了。例如：
_declspec(thread) int g_nData = 0;3. 一個使用TLS的例子
//--------------------------------------------------------------------------------------------------------
#include <windows.h>
#include <stdio.h>
#define THREADCOUNT 4
DWORD dwTlsIndex;
int iNUM_OF_CALL_COMMON=0;
int iNUM_OF_CALL_THREAD=0;
VOID ErrorExit(LPSTR);
VOID CommonFunc(VOID)
{
LPVOID lpvData;
// Retrieve a data pointer for the current thread.
iNUM_OF_CALL_COMMON++;
lpvData = TlsGetValue(dwTlsIndex);
if ((lpvData == 0) && (GetLastError() != ERROR_SUCCESS))
ErrorExit("TlsGetValue error");
// Use the data stored for the current thread.
printf("common: thread %d: lpvData=%lx\n",
GetCurrentThreadId(), lpvData);
Sleep(5000);
}
DWORD WINAPI ThreadFunc(VOID)
{
LPVOID lpvData;
// Initialize the TLS index for this thread.
iNUM_OF_CALL_THREAD++;
lpvData = (LPVOID) LocalAlloc(LPTR, 256);
if (! TlsSetValue(dwTlsIndex, lpvData))
ErrorExit("TlsSetValue error");
printf("thread %d: lpvData=%lx\n", GetCurrentThreadId(), lpvData);
CommonFunc();
// Release the dynamic memory before the thread returns.
lpvData = TlsGetValue(dwTlsIndex);
if (lpvData != 0)
LocalFree((HLOCAL) lpvData);
return 0;
}
int main(VOID)
{
DWORD IDThread;
HANDLE hThread[THREADCOUNT];
int i;
// Allocate a TLS index.
if ((dwTlsIndex = TlsAlloc()) == TLS_OUT_OF_INDEXES)
ErrorExit("TlsAlloc failed");
// Create multiple threads.
for (i = 0; i < THREADCOUNT; i++)
{
hThread[i] = CreateThread(NULL, // default security attributes
0, // use default stack size
(LPTHREAD_START_ROUTINE) ThreadFunc, // thread function
NULL, // no thread function argument
0, // use default creation flags
&IDThread); // returns thread identifier
// Check the return value for success.
if (hThread[i] == NULL)
ErrorExit("CreateThread error\n");
}
// printf("All threads were created.\n");
for (i = 0; i < THREADCOUNT; i++)
WaitForSingleObject(hThread[i], INFINITE);
TlsFree(dwTlsIndex);
printf("The nums of thread is: %d\n",iNUM_OF_CALL_THREAD);
printf("The nums of call is: %d\n",iNUM_OF_CALL_COMMON);
return 0;
}
VOID ErrorExit (LPSTR lpszMessage)
{
fprintf(stderr, "%s\n", lpszMessage);
ExitProcess(0);
}
//--------------------------------------------------------------------------------------------------------
4. T L S的內(nèi)部數(shù)據(jù)結(jié)構(gòu)
1.jpg
圖1 用于管理T L S的內(nèi)部數(shù)據(jù)結(jié)構(gòu)
每個標志均可設(shè)置為FREE或者INUSE，表示TLS槽( s l o t )是否正在使用。Microsoft保證至少TLS_MINIMUM_AVAILABLE位標志是可供使用的。
5. 相關(guān)API
Windows TLS的API: TlsAlloc, TlsFree, TlsSetValue, TlsGetValue。
● DWORD TlsAlloc(); //(若要使用動態(tài)T L S，首先必須調(diào)用TlsAlloc函數(shù))
這個函數(shù)命令系統(tǒng)對進程中的位標志進行掃描，并找出一個FREE標志。然后系統(tǒng)將該標志從FREE改為INUSE，并且TlsAlloc返回位數(shù)組中的標志的索引。DLL（或APP）通常將該索引保存在一個全局變量中，因為它的值是每個進程而不是每個線程使用的值。
● BOOL TlsSetValue( //將一個值放入線程的數(shù)組中
DWORD dwTlsIndex,
PVOID pvTlsValue);
● PVOID TlsGetValue(DWORD dwTlsIndex); //要從線程的數(shù)組中檢索一個值
● BOOL TlsFree(DWORD dwTlsIndex); //當在所有線程中不再需要保留TLS槽時
參考資料：Jeffrey Richter《《Programming Applications for Microsoft Windows (4th Ed.)》》Chapter 21
6. TLS目錄
7.JPGTLS Callback Functions這是線程建立和退出時的回調(diào)函數(shù), 包括主線程和其他線程.AddressOfCallBacks 是指向函數(shù)指針數(shù)組的指針, 以 0 結(jié)束.
typedef struct _TEB {
NT_TIB Tib;
PVOID EnvironmentPointer;
CLIENT_ID Cid;
PVOID ActiveRpcInfo;
PVOID ThreadLocalStoragePointer; ; 2ch
PPEB Peb; ; 30h
ULONG LastErrorValue; ; 34h
…}
TLS目錄 #define IMAGE_DIRECTORY_ENTRY_TLS 9 (第十個目錄)
Tls隱藏的入口點利用
就是利用Address of Callbacks字段,寫入要執(zhí)行的代碼的地址就可以了. 測試對象：test.exe
程序類型：delphi編寫
PeEditor檢測Tls信息（文件偏移59400H處）如下：
2.jpg TLS信息
------------------------------------------
目錄表： 0045D000
TLS數(shù)據(jù)： 0045D010
索引變量： 004570A0
調(diào)用返回地址： 0045E010 （調(diào)用返回地址）
------------------------------------------
我們打算讓系統(tǒng)在0045E010處執(zhí)行我們的代碼，就需要在這個地方對應(yīng)的文件偏移處寫入我們的代碼。
觀察節(jié)表信息
VA=0045E010,按照文件不需要重定位去計算則RVA=0005E010
觀察節(jié)表信息，這個值處于.rdata節(jié)內(nèi)。
.rdata節(jié)起始RVA=0005E000，起始Offset為00059400
則callback地址對應(yīng)的Offset=（0005E010 - 0005E000）+ 00059400 =00059410
注意在這里（00059410H）應(yīng)該寫入一個函數(shù)地址。
打造一個簡單的代碼:
；----------------------------------------------------------------
.386
.model flat,stdcall
option casemap:none
include windows.inc
include user32.inc
includelib user32.lib
.code
start:
jmp @F
db 'Run thru Tls entry point.',0
@@:
mov eax,$
sub eax,26
call @delta
@delta:
pop ebp
sub ebp,offset @delta
add eax,ebp
invoke MessageBox,NULL,eax,NULL,0
ret
end start
；----------------------------------------------------------------
編譯生成可執(zhí)行文件，這只是一個簡單的彈出對話框的程序。
3.jpg 打開16進制工具，載入msgbox.exe，復(fù)制代碼：
4.jpg 注意00402000H處存放的是MessageBox的入口地址，我把它固化下來，動態(tài)跟蹤發(fā)現(xiàn)是8A05D577H。（當然在編程時可以動態(tài)搜尋我們需要的API，為簡單起見這里Hard-code一下。）
打開16進制工具,載入藝術(shù)字體2.exe，定位到00059410。
5.jpg 我們把代碼復(fù)制在偏移00059410處，對應(yīng)的VA=0045E030H，則把0045E030存入偏移00059410。
還要注意最后的 MessageBox的入口地址我們使用硬編碼的方式，我們把這個地址寫入在00059480處了。保存修改，然后運行程序。程序首先彈出兩個對話框（一個是TLS模板，一個是主線程創(chuàng)建），結(jié)束程序運行還會彈出一個對話框，不過這個對話框太丑了：
6.jpg 說明：我在看一本介紹病毒知識的書籍時看到作者提及到這么一句話，大概意思是說他們公司某人發(fā)現(xiàn)了這個秘密，一直沒有公布，不過后來由于rgb利用此技術(shù)制造了病毒，也就無所謂秘密可言了。由于Tls入口要比OEP先執(zhí)行，所以在加殼與脫殼中都有利用的價值。