【PE文件】TLS

TLS表位置

IMAGE_NT_HEADERS.IMAGE_OPTIONAL_HEADER32.IMAGE_DATA_DIRECTORY_ARRAY[9].VirtualAddress

TLS表结构

TLS（Thread Local Storage，线程局部存储）以一个 IMAGE_TLS_DIRECTORY 结构体开始，TLS是各线程独立的数据存储空间，可以将数据与特定线程进行关联。

struct _IMAGE_TLS_DIRECTORY 
{
    0x00 DWORD StartAddressOfRawData;                 //内存起始地址
    0x04 DWORD EndAddressOfRawData;                   //内存终止地址
    0x08 LPDWORD AddressOfIndex;                      //地址索引，运行库用该索引来定位线程局部数据
    0x0c PIMAGE_TLS_CALLBACK *AddressOfCallBacks;     //地址数组，保存所有TLS回调函数地址，数组以NULL结尾
    0x10 DWORD SizeOfZeroFill;                        //后面跟0的个数
    0x14 DWORD Characteristics;                       //保留
};

//回调函数原型：
typedef VOID (NTAPI *PIMAGE_TLS_CALLBACK)
(
    PVOID DllHandle,                                  //模块基址
    DWORD Reason,                                     //调用原因
    PVOID Reserved                                    //保留
);

//调用原因
{
    DLL_PROCESS_ATTACH                                //1: 进程创建
    DLL_THREAD_ATTACH                                 //2: 线程创建
    DLL_THREAD_DETACH                                 //3: 线程结束
    DLL_PROCESS_DETACH                                //0: 进程结束
}

//注意：
1、_IMAGE_TLS_DIRECTORY结构中的地址都是VA(虚拟地址)而不是RVA，如果PE文件开启基址重定位则这些地址也需要进行修正。
2、AddressOfCallBacks是线程建立和退出时的回调函数，当一个线程被创建或销毁时，数组中的函数都会被调用。
3、程序运行时，TLS数据的初始化和回调函数都会在入口点(EntryPoint)之前执行。恶意程序经常使用该特性执行反调试等操作。

示例代码

// TLS Tset.cpp : 定义控制台应用程序的入口点。
//

#include "stdafx.h"
#include <windows.h>
#pragma comment(linker, "/INCLUDE:__tls_used")


// TLS回调_1
void NTAPI TLS_CALLBACK1(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
    char szMsg[80] = { 0, };
    wsprintfA(szMsg, "TLS_CALLBACK1() : DllHandle = %X, Reason = %d\n", DllHandle, Reason);
    OutputDebugString(szMsg);
}

// TLS回调_2
void NTAPI TLS_CALLBACK2(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
    char szMsg[80] = { 0, };
    wsprintfA(szMsg, "TLS_CALLBACK2() : DllHandle = %X, Reason = %d\n", DllHandle, Reason);
    OutputDebugString(szMsg);
}

// 注册TLS回调
#pragma data_seg(".CRT$XLX")
    PIMAGE_TLS_CALLBACK pTLS_CALLBACKs[] = { TLS_CALLBACK1, TLS_CALLBACK2, 0 };
#pragma data_seg()

// 线程回调
DWORD WINAPI ThreadProc(LPVOID lParam)
{
    OutputDebugString("ThreadProc() start\n");
    OutputDebugString("ThreadProc() end\n");
    return 0;
}

// Main
int _tmain(int argc, _TCHAR* argv[])
{
    OutputDebugString("main() start\n");

    //创建测试线程
    HANDLE hThread = NULL;
    hThread = CreateThread(NULL, 0, ThreadProc, NULL, 0, NULL);
    WaitForSingleObject(hThread, 60 * 1000);
    CloseHandle(hThread);

    OutputDebugString("main() end\n");
    
    system("pause");
    return 0;
}

2个TLS回调分别被调用执行4次，共8次：

// 进程创建
[15920] TLS_CALLBACK1() : DllHandle = 520000, Reason = 1
[15920] TLS_CALLBACK2() : DllHandle = 520000, Reason = 1
[15920] main() start

// 线程创建
[15920] TLS_CALLBACK1() : DllHandle = 520000, Reason = 2
[15920] TLS_CALLBACK2() : DllHandle = 520000, Reason = 2
[15920] ThreadProc() start
[15920] ThreadProc() end
// 线程结束
[15920] TLS_CALLBACK1() : DllHandle = 520000, Reason = 3
[15920] TLS_CALLBACK2() : DllHandle = 520000, Reason = 3
[15920] main() end

// 进程结束
[15920] TLS_CALLBACK1() : DllHandle = 520000, Reason = 0
[15920] TLS_CALLBACK2() : DllHandle = 520000, Reason = 0