2024.9.4 리버싱 공부(나뭇잎 책)

TLS(Thread Local Storage) 콜백 함수

EP 코드보다 먼저 실행되는 코드

PE헤더의 Data_Directory[9]에 TLS_DIRECTORY가 있음.

구조체에 Address of Callbacks이 TLS callback임.

(linux에도 이런게 있나 검색해봤는데 Thread마다 local 전역변수는 있는데 callback은 없음. windows의 특성)

TLS는 스레드별로 독립된 데이터 저장 공간임.

스레드 내에서 프로세스의 global, static data를 마치 local데이터 처럼 취급할때 쓰임.

TLS callback은 프로세스의 스레드가 생성/종료될 때마다 호출되는 함수. (메인 스레드가 생성/종료될 때도 호출됨. EP코드 보다 더 먼저)

보통 debugging을 EP코드부터 진행해서 이 함수에서 안티디버깅 루틴 타서 감지함.

#include <windows.h>

void print_console(const char* szMsg)
{
    HANDLE hStdout = GetStdHandle(STD_OUTPUT_HANDLE);

    WriteConsoleA(hStdout, szMsg, strlen(szMsg), NULL, NULL);
}

void NTAPI TLS_CALLBACK1(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
    char szMsg[80] = { 0, };
    wsprintfA(szMsg, "TLS_CALLBACK1() : DllHandle = %X, Reason = %d\n", DllHandle, Reason);
    print_console(szMsg);
}

void NTAPI TLS_CALLBACK2(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
    char szMsg[80] = { 0, };
    wsprintfA(szMsg, "TLS_CALLBACK2() : DllHandle = %X, Reason = %d\n", DllHandle, Reason);
    print_console(szMsg);
}

#ifdef _WIN64
#pragma comment (linker, "/INCLUDE:_tls_used")  // See p. 1 below
#pragma comment (linker, "/INCLUDE:tls_callback_func")  // See p. 3 below
#else
#pragma comment (linker, "/INCLUDE:__tls_used")  // See p. 1 below
#pragma comment (linker, "/INCLUDE:_tls_callback_func")  // See p. 3 below
#endif

// Explained in p. 3 below
#ifdef _WIN64
#pragma const_seg(".CRT$XLF")
EXTERN_C const
#else
#pragma data_seg(".CRT$XLF")
EXTERN_C
#endif
PIMAGE_TLS_CALLBACK tls_callback_func[] = { TLS_CALLBACK1,TLS_CALLBACK2 };
#ifdef _WIN64
#pragma const_seg()
#else
#pragma data_seg()
#endif //_WIN64

DWORD WINAPI ThreadProc(LPVOID lParam)
{
    print_console("ThreadProc() start\n");

    print_console("ThreadProc() end\n");

    return 0;
}

int main(void)
{
    HANDLE hThread = NULL;

    print_console("main() start\n");

    hThread = CreateThread(NULL, 0, ThreadProc, NULL, 0, NULL);
    WaitForSingleObject(hThread, 60 * 1000);
    CloseHandle(hThread);

    print_console("main() end\n");

    return 0;
}