windows - 非感知可执行文件的 ASLR 和 Windows 系统 DLL？

Question

来自Microsoft article :

Address Space Layout Randomization (ASLR)

ASLR moves executable images into random locations when a system boots, making it harder for exploit code to operate predictably. For a component to support ASLR, all components that it loads must also support ASLR. For example, if A.exe consumes B.dll and C.dll, all three must support ASLR. By default, Windows Vista and later will randomize system DLLs and EXEs, but DLLs and EXEs created by ISVs must opt in to support ASLR using the /DYNAMICBASE linker option.

我不太明白。以 WIndows 上的每个进程加载的基本系统 DLL 为例:NtDll.dll 和 kernel32.dll。

如果有一个不可识别的可执行文件，这些系统 DLL 会使用 ASLR 吗？也就是说，对于此可执行文件，在 Win 7 上的每次系统重新启动后，它们是否会加载到不同的基地址，或者它们是否会像在 Win XP 上一样，在系统重新启动后始终加载到相同的基地址？

为了更清楚地说明我的意思:我典型的虚拟程序的启动堆栈如下所示:

    write_cons.exe!wmain()  Line 8  C++
    write_cons.exe!__tmainCRTStartup()  Line 583 + 0x19 bytes   C
    write_cons.exe!wmainCRTStartup()  Line 403  C
>   kernel32.dll!_BaseProcessStart@4()  + 0x23 bytes    

查看 BaseProcessStart 的汇编，我在我的 XP 机器上看到这里:

_BaseProcessStart@4:
7C817054  push        0Ch  
7C817056  push        7C817080h 
7C81705B  call        __SEH_prolog (7C8024D6h) 
7C817060  and         dword ptr [ebp-4],0 
...

现在我感兴趣的是:

在 Windows XP 上，地址将始终为 0x7C817054，无论我重启这台机器多少次。如果我在使用 ASLR 的 Win7 上，如果加载 kernel32.dll 的可执行文件未启用 ASLR，则在重新启动之间此地址会更改吗？

(注意:对我来说，atm.，这个地址只有一个小用例有用:在 Visual Studio 中，我只能为汇编级函数设置一个“数据断点”，即断点@ 0x7... - 如果我想中断特定的 ntdll.dll 或 kernel32.dll 函数，在 Windows XP 中我不必在重新启动之间调整我的断点。随着 ASLR 启动(这个问题的范围)我会更改重新启动之间的数据断点。)

Answer 1

从技术上讲，系统 dll 是否重定位应该无关紧要，因为链接器将绑定(bind)到符号，而不是地址。这些符号由运行时加载程序解析为实例化系统 dll 的地址，因此您的二进制文件应该不会更明智。然而，从我所看到的情况来看，Windows 7 将在每次重新启动时重置基本随机化，包括系统 dll(注意:这是来自在 widows server 2008 R2 上调试 WOW64 应用程序)。您还可以通过一些注册编辑在系统范围内禁用 ASLR，但这并不是真正相关的......

更新:

关于 ASLR 的部分在 this文章解释了搬迁的内容和时间。它没有提到基础是否会在每次重新启动时重置，但对于系统 dll，它永远不会保证在同一地址加载两次，重新启动或不重新启动。重要的是根据文章，一切都需要选择加入 ASLR 才能重新定位系统 dll。