?一：背景
1. 講故事
最近經常遇到有朋友反饋，在 x64 環境下如何提取線程棧中的方法參數，熟悉 x64 調用協定的朋友應該知道，這種協定范圍下，方法的前四個參數都是用寄存器傳遞的，比如rcx，rdx，r8d，r9d 四個寄存器，由于寄存器存值的臨時性，它的值容易被后面的邏輯給征用了，那這種情況下還有沒有辦法提取出來呢？說實話，全靠運氣，為什么這么說呢？如果這個在方法的棧初始化過程中有臨時的保存在線程棧中的話，那恭喜你，可以成功給撈出來。
接下來通過一個小案例來深入的聊一下。
二：案例分析
1. 一個案例演示
為了方便講述，這里我用 Marshal? 在 ntheap 上分配堆塊，然后提取 Marshal.FreeHGlobal 方法的用戶句柄，參考代碼如下：
static void Main(string[] args)
{
//1. 分配 堆塊
IntPtr ptr = Marshal.AllocHGlobal(sizeof(int));
Console.WriteLine("ptr= 0x{0:X2}", ptr);
//2. 寫入數據
var num = int.MaxValue;
Marshal.WriteInt32(ptr, num);
Console.WriteLine("num 已寫入 ptr= 0x{0:X2} 堆塊", ptr);
Debugger.Break();
//3. 釋放 堆塊
Marshal.FreeHGlobal(ptr);
Console.WriteLine("ptr= 0x{0:X2} 堆塊成功釋放", ptr);
}
熟悉 ntheap 的朋友都知道，如果在調試的環境下使用 FreeHGlobal? 方法會命中底層的 ntdll!RtlpValidateHeap 方法，只要在這地方下個斷點即可，參考代碼如下：
0:000> bp ntdll!RtlpValidateHeap
0:000> g
Breakpoint 0 hit
ntdll!RtlpValidateHeap:
00007ffe`8e92a784 48895c2410 mov qword ptr [rsp+10h],rbx ss:00000021`2037e078=00007ffd00000000
0:000> k 10
# Child-SP RetAddr Call Site
00 00000021`2037e068 00007ffe`8e9295f5 ntdll!RtlpValidateHeap
01 00000021`2037e070 00007ffe`8e855cc1 ntdll!RtlDebugFreeHeap+0x99
02 00000021`2037e0d0 00007ffe`8e855b74 ntdll!RtlpFreeHeap+0xc1
03 00000021`2037e280 00007ffe`8e8547b1 ntdll!RtlpFreeHeapInternal+0x464
04 00000021`2037e340 00007ffe`8c33934f ntdll!RtlFreeHeap+0x51
05 00000021`2037e380 00007ffd`d4af5c7c KERNELBASE!LocalFree+0x2f
06 00000021`2037e3c0 00007ffd`7b132a10 System_Private_CoreLib!System.Runtime.InteropServices.Marshal.FreeHGlobal+0x4c [/_/src/libraries/System.Private.CoreLib/src/System/Runtime/InteropServices/Marshal.Windows.cs @ 144]
07 00000021`2037e490 00007ffd`dacaae93 Example_18_1_1!Example_18_1_1.Program.Main+0xd0 [D:\skyfly\18.20230322\src\Example\Example_18_1_1\Program.cs @ 21]
...
從代碼中可以看到當釋放堆塊時果然調用了這個函數，接下來有一個需求，我想知道 KERNELBASE!LocalFree? 第一個參數到底是什么，有朋友肯定想說，你可以取 rcx? 寄存器呀，但不要忘了，此時代碼都跑到 ntdll!RtlpValidateHeap? 方法了， rcx 中的值早就被其他方法給覆蓋了，那怎么辦呢？
2. 還有希望嗎
有沒有希望真的看運氣了，這時候要詳細觀察 KERNELBASE!LocalFree 方法入口處的匯編代碼，看下它有沒有將 rcx 保存在棧中，如果真的有保存到棧中，那就萬幸了，有了思路之后說干就干。
0:000> u KERNELBASE!LocalFree
KERNELBASE!LocalFree:
00007ffe`8c339320 48895c2410 mov qword ptr [rsp+10h],rbx
00007ffe`8c339325 4889742418 mov qword ptr [rsp+18h],rsi
00007ffe`8c33932a 48894c2408 mov qword ptr [rsp+8],rcx
00007ffe`8c33932f 57 push rdi
00007ffe`8c339330 4883ec30 sub rsp,30h
00007ffe`8c339334 488bd9 mov rbx,rcx
00007ffe`8c339337 f6c308 test bl,8
00007ffe`8c33933a 753f jne KERNELBASE!LocalFree+0x5b (00007ffe`8c33937b)
從匯編代碼看真的很萬幸，代碼將 rcx? 保存到了 rsp+8? 的棧位置，接下來急需要知道這里的 rsp+8 指的是哪一塊內存地址？
3. rsp+8 到底指向哪里
在 x64 平臺下，為了最大化的利用寄存器，方法棧幀使用一個 rsp 來標記?？臻g，而不像 32bit 平臺用 ebp? 和 esp? 兩個寄存器來聯合承載，參考 k 命令輸出。
0:000> k 8
# Child-SP RetAddr Call Site
00 00000021`2037e068 00007ffe`8e9295f5 ntdll!RtlpValidateHeap
01 00000021`2037e070 00007ffe`8e855cc1 ntdll!RtlDebugFreeHeap+0x99
02 00000021`2037e0d0 00007ffe`8e855b74 ntdll!RtlpFreeHeap+0xc1
03 00000021`2037e280 00007ffe`8e8547b1 ntdll!RtlpFreeHeapInternal+0x464
04 00000021`2037e340 00007ffe`8c33934f ntdll!RtlFreeHeap+0x51
05 00000021`2037e380 00007ffd`d4af5c7c KERNELBASE!LocalFree+0x2f
06 00000021`2037e3c0 00007ffd`7b132a10 System_Private_CoreLib!System.Runtime.InteropServices.Marshal.FreeHGlobal+0x4c [/_/src/libraries/System.Private.CoreLib/src/System/Runtime/InteropServices/Marshal.Windows.cs @ 144]
07 00000021`2037e490 00007ffd`dacaae93 Example_18_1_1!Example_18_1_1.Program.Main+0xd0 [D:\skyfly\18.20230322\src\Example\Example_18_1_1\Program.cs @ 21]
接下來的問題是: Child-SP 和 KERNELBASE!LocalFree 方法中的 rsp 到底是什么關系？要回答這個問題，需要非常清楚 Child-SP 是如何標記棧幀的，畫個圖如下：
從圖中可以清晰的看到：Child-SP? 標記的是子方法中第一個參數的位置，而方法入口處的 RSP 指向的是該方法的返回地址 RIP 的位置，比 Child-SP 小一個指針單元。
有朋友可能要問為什么是 RIP 的位置，這是因為匯編的 call 指令會隱式的如下執行。
有了這些基礎之后，接下來就好辦了，計算公式為:
rsp = Child-SP - 0x8
那么 rsp + 0x8 = Child-SP - 0x8 + 0x8 = Child-SP = 000000212037e3c0，接下來用 windbg 來驗證下。
0:000> dp 000000212037e3c0 L1
00000021`2037e3c0 00000141`a81f1f20
0:000> !heap -x 00000141`a81f1f20
Entry User Heap Segment Size PrevSize Unused Flags
-------------------------------------------------------------------------------------------------------------
00000141a81f1f10 00000141a81f1f20 00000141a8100000 00000141a8100000 40 90 3c busy extra fill
大家再回頭看下 Console 界面的輸出，果然就是我苦苦尋求的 ptr= 0x141A81F1F20 地址。
三：總結
這是一篇非常有用的經驗分享帖，相信你在dump分析中肯定會用的上，總的來說，由于方法參數是通過寄存器傳遞的，能不能成功撈取需要你仔細觀察匯編代碼才能知道。
