En se moment je m’intéresse à la programmation Direct3D. J’ai réalisé un programme bidon qui affiche un symbole en 3d et le fait tourner sur lui même. Pas d’anti-aliasing ou autre joyeuseté du style je me suis simplement servi de vertex (une vertex/vertice pourrais se résumer à un point). Le but de ce programme est d’avoir une base pour réaliser ensuite un hook sur la fonction manipulant les vertex et leurs informations histoire de retrouver les couleurs et coordonnées des points du symbole affiché.
Chaque point de la figure est stoqué dans un tableau de CUSTOMVERTEX, la structure CUSTOMVERTEX est défini par la méthode SetFVF() qui se trouve dans l’objet IDirect3DDevice9. Je défini mon point par D3DFVF_XYZ|D3DFVF_DIFFUSE se qui représente { (float)X, (float)Y, (float)Z, (DWORD)color, }
Une autre méthode intéressante est SetStreamSource() faisant partie du même objet, elle va aller toucher au buffer contenant touts les points, et cela à chaque fois qu’on affiche une image. Il suffit donc d’injecter une dll dans le programme et de retrouver IDirect3DDevice9::SetStreamSource() pour la hooker. Sauf que l’objet IDirect3DDevice9 est en mémoire, où? impossible à savoir de l’extérieur.
Le code important dans le programme est:
// (LPDIRECT3DDEVICE9) gPd3dDevice // (LPDIRECT3DVERTEXBUFFER9) gVertexBuff // Préparation du vertex buffer gPd3dDevice->SetStreamSource(0, gVertexBuff, 0, sizeof(CUSTOMVERTEX)); // Définition de la taille d'un point/vertex gPd3dDevice->SetFVF(D3DFVF_XYZ|D3DFVF_DIFFUSE); // on dessine un premier triangle gPd3dDevice->DrawPrimitive(D3DPT_TRIANGLESTRIP, 0, 1); // puis le second... et ainsi de suite pour avoir le symbole gPd3dDevice->DrawPrimitive(D3DPT_TRIANGLESTRIP, 3, 1);
Voici la version assembleur pour l’appel à gPd3dDevice->SetStreamSource(0, gVertexBuff, 0, sizeof(CUSTOMVERTEX));
mov edx,dword ptr ds:[gVertexBuff] ; on met l'adresse de gVertexBuff dans edx mov eax,dword ptr ds:[gPd3dDevice] ; on met l'adresse de gPd3dDevice dans eax mov ecx,dword ptr ds:[eax] ; ecx pointe vers la table de fonction de l'objet DIRECT3DDEVICE9 push 10 ; Stride (taille d'un point/vertex) 0x10 = 16 = DWORD*4 push 0 ; Offset push edx ; l'adresse de gVertexBuff push 0 ; StreamNumber push eax ; l'adresse de gPd3dDevice mov eax,dword ptr ds:[ecx+190] ; 64eme fonction de l'objet d3dDevice call eax ; gPd3dDevice->SetStreamSource(0, edx, 0, 10);
Donc l’objet IDirect3DDevice9 contient une table de fonction, la fonction SetStreamSource est la 64eme et fait référence au module d3d9.dll. En cherchant un peu je retrouve comment est initialisé l’objet. En fait il se base sur une autre table de fonction qui se situe aussi dans le module d3d9.dll et dont SetStreamSource est la 134eme fonction. Comme je ne peux pas savoir comment est structuré l’objet en mémoire je me baserai sur la table de fonction de d3d9.dll pour retrouver SetStreamSource.
La table se situe dans la section .text à l’offset 0x15C38, C’est hardcodé donc c’est moche et ça ne marchera que pour certaine version de la librairie. mais je suis obliger de procéder de cette manière car SetStreamSource n’est pas exporté. D’ailleurs la plupart des codes que j’ai trouvé utilisent des offset.
Sinon il y a plusieurs alternatives, dont le hook de l’IAT sur des fonctions de type d3d8thk.* qui sont d’anciennes fonctions de d3d8.dll utilisés dans la version neuf par souci de compatibilité. ou encore hooker la fonction Direct3DCreate9 qui elle est exporté.
Je préfère procéder par un hook inline, sodomite inside. Donc la DLL que je vais injecté vas retrouver SetStreamSource(), la rediriger vers une fonction intermédiaire qui aura pour but de récupérer les arguments de la pile. Comme la DLL injecté fait partie d’un nouveau thread je vais faire un Sleep(100). Les autres thread du programme vont avoir le temps de s’exécuter et d’utiliser ma fonction hooké et c’est gagné. Après le Sleep() j’aurai accès au argument de SetStreamSource().
On aura donc l’adresse des objets IDirect3DDevice9, IDirect3DVertexBuffer9 ainsi qu’a la taille du CUSTOMVERTEX. Ensuite on utilise les objets comme s’ils nous appartenaient. Donc pour avoir accès aux fameux points de la figure il suffit de faire un:
// pVertices contiendra l'adresse du début de la mémoire ou sont stoqué les vertex // gVertexBuff représente l'objet IDirect3DVertexBuffer9 gVertexBuff->Lock(0, vertexSize, (void **)&pVertices, 0); gVertexBuff->Unlock();
Ensuite on peut manipuler ces objets à volonté, lire/changer la position des points, la couleur etc… Le code est disponible mais ça reste un PoC, je change juste la couleur du symbole rien d’extraordinaire. J’ai surtout fait ça pour cheater à l’iut :] For Aiur!
Version de d3d9: 5.3.2600.2180
Le programme: d3d.exe – source
La dll à injecter: d3d.dll – source
Le screen: ici
