关于SSDT HOOK取消内存写保护的问题

转载 2014年03月04日 15:41:05

有些人说不去掉也不会蓝屏,照样能HOOK成功
确实,我当时也是这样过。。。
不过拿给别人机器一测试就蓝了

网上找到了MJ给出的答案:
当使用大页面映射内核文件时,代码段和数据段在一块儿,所以页必须是可写的,这种情况下直接改是没有问题的

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management下面增加两个DWORD值'LargePageMinimum" = 0xFFFFFFFF, "EnforceWriteProtection" = 1,重启,重新跑自己的驱动。。。 
win2k上RAM超过127M,winxp和win server 2003上RAM超过255M,内存管理器会使用大页面(x86上4M,IA64和X86-64上16M)来映射Ntoskrnl.exe,这样由于代码和数据可能驻留在同一个页面,所以代码写保护是被禁止的。以上两个注册表修改项,第一个指明了当内存数量达到多少时使用大页面来映射ntoskrnl,设置成0xFFFFFFFF就是相当于无限大,因此不会使用大页面。第二个开启代码写保护。


一般去掉写保护有三种方法:
1.更改注册表(需要重启)
HKLM/SYSTEM/CurrentControlset/Control/Session Manger/
Memory Management/EnforceWriteProtection=0

HKLM/SYSTEM/CurrentControlset/Control/Session Manger/
Memory Management/DisablePagingExecutive=1

2.修改控制寄存器cr0
就是把CR0中WP(写保护)位设置为0,就可以禁止内存保护了。

  1. //取消内存保护   
  2. _asm  
  3. {  
  4.     Push eax  
  5.     Mov eax,CR0  
  6.     And eax,0FFFEFFFFh  
  7.     Mov CR0,eax  
  8.     Pop eax  
  9. }  
  10. //重新开启内存保护   
  11. _asm  
  12. {  
  13.     Push eax  
  14.     Mov eax,CR0  
  15.     Or eax NOT 0FFFEFFFFh  
  16.     Mov CR0,eax  
  17.     Pop eax  
  18. }  

3.利用MDL(Memory Descriptor List)来绕过写保护
我们可以在MDL中描述一段内存,包括内存段的起始位置、所拥有的进程、字节数、内存段的标志等等。
  1. //MDL reference defined in ntddk.h   
  2. Typedef struct  _MDL{  
  3.     Struct  _MDL    *Next;  
  4.     CSHORT  Size;  
  5.     CSHORT  MdlFlags;  
  6.     Struct  _EPROCESS   *Process;  
  7.     PVOID   MappedSystemVa;  
  8.     PVOID   StartVa;  
  9.     ULONG   ByteCount;  
  10.     ULONG   ByteOffset;  
  11. }MDL,*PMDL;  
  12. //MDL Flags   
  13. #define MDL_MAPPED_TO_SYSTEM_VA     0x0001   
  14. #define MDL_PAGES_LOCKED                0x0002   
  15. #define MDL_SOURCE_IS_NONPAGED_POOL 0x0004   
  16. #define MDL_ALLOCATED_FIXED_SIZE        0x0008   
  17. #define MDL_PARTIAL                     0x0010   
  18. #define MDL_PARTIAL_HAS_BEEN_MAPPED 0x0020   
  19. #define MDL_IO_PAGE_READ                0x0040   
  20. #define MDL_WRITE_OPERATION             0x0080   
  21. #define MDL_PARENT_MAPPED_SYSTEM_VA 0x0100   
  22. #define MDL_LOCK_HELD                   0x0200   
  23. #define MDL_PHYSICAL_VIEW               0x0400   
  24. #define MDL_IO_SPACE                        0x0800   
  25. #define MDL_NETWORK_HEADER          0x1000   
  26. #define MDL_MAPPING_CAN_FAIL            0x2000   
  27. #define MDL_ALLOCATED_MUST_SUCCEED  0x4000  

为了改变内存的标志,下面的代码首先声明一个结构体,用来保存从windows内核中导出的KeServiceDescriptorTable。当调用MmCreateMdl时,需要知道KeServiceDescriptorTable的基地址和它所拥有的函数入口的数量。这个函数定义了你想要MDL描述的内存段的起始地址和大小,然后应用程序在内存的非分页内存中创建MDL。在应用程序中可以通过改变MDL的标志使得可以写内存段,也就是把MDLFlag设置为MDL_MAPPED_TO_SYSTEM_VA,然后调用MmMapLockedPages来锁定内存中的MDL页。在下面的代码中,MappedSystemCallTable中的地址与SSDT的内容相一致,但是现在你可以修改它了。

  1. //声明   
  2. #pragma pack(1)   
  3. Typedef struct  ServiceDescriptorEntry{  
  4.     Unsigned int*   ServiceTableBase;  
  5.     Unsigned int*   ServiceCounterTableBase;  
  6.     Unsigned int    NumberOfService;  
  7.     Unsigned char*  ParamTableBase;  
  8. }SSDT_Entry;  
  9. #pragma pack()   
  10. _declspec(dllimport) SSDT_Entry KeServiceDescriptorTable;  
  11. PMDL    g_pmdlSystemCall;  
  12. PVOID   *MappedSystemCallTable;  
  13. //保存原始的系统调用地址,映射到我们的域中,来改变MDL的保护   
  14. g_pmdlSystemCall = MmCreateMdl(NULL,  
  15.                 KeServiceDescriptorTable,  
  16.                 ServiceTableBase,  
  17.                 KeServcieDescriptorTable.NumberOfService*4);  
  18. If(!g_pmdlSystemCall)  
  19.     Return STATUS_UNSUCCESSFUL;  
  20. MmBuildMdlForNonPagedPool(g_pmdlSystemCall);  
  21. //改变MDL的标志   
  22. g_pmdlSystemCall->MdlFlags = g_pmdlSystemCall->MdlFlags |   
  23.                         MDL_MAPPED_TO_SYSTEM_VA  
  24. MappedSystemCallTable = MmMapLockedPages(g_pmdlSystemCall,KernelMode);  

下面列出几个对SSDT Hook比较有用的几个宏。
  1. #define HOOK_INDEX(function2hook) *(PULONG)((PUCHAR)function2hook + 1)   
  2. #define HOOK(functionName, newPointer2Function, oldPointer2Function )  /   
  3. oldPointer2Function = (PVOID) InterlockedExchange( (PLONG) &NewSystemCallTable[HOOK_INDEX(functionName)], (LONG) newPointer2Function)  
  4. #define UNHOOK(functionName, oldPointer2Function)  /   
  5. InterlockedExchange( (PLONG) &NewSystemCallTable[HOOK_INDEX(functionName)], (LONG) oldPointer2Function)  
  6. #define UNHOOK(functionName, oldPointer2Function)  /   
  7. InterlockedExchange( (PLONG) &NewSystemCallTable[HOOK_INDEX(functionName)], (LONG) oldPointer2Function)  

SSDT HOOK 内存写保护

有些人说不去掉也不会蓝屏,照样能HOOK成功 确实,我当时也是这样过。。。 不过拿给别人机器一测试就蓝了 网上找到了MJ给出的答案: 当使用大页面映射内核文件时,代码段和数据段在一块儿,所...
  • Rodney443220
  • Rodney443220
  • 2016年06月14日 15:32
  • 559

HOOK SSDT禁用内存写保护

cr0的第16位是WP位,只要将这一位置0就可以禁用写保护,置1则可将其恢复。 // 关闭写保护 __asm {     cli ;     mov eax, cr0     an...
  • u012410612
  • u012410612
  • 2013年11月30日 13:07
  • 782

SSDTHook实例--编写稳定的Hook过滤函数

讲解如何写Hook过滤函数,比如NewZwOpenProcess。打开进程。很多游戏保护都会对这个函数进行Hook。由于我们没有游戏保护的代码,无法得知游戏公司是如何编写这个过滤函数。   我看到很多...
  • QQ1084283172
  • QQ1084283172
  • 2015年07月04日 13:45
  • 1684

查看SSDTHOOK其修改

#define SYSTEMSERVICE(_function) KeServiceDescriptorTable.ServiceTableBase[ *(PULONG)((PUCHAR)_funct...
  • trents
  • trents
  • 2012年02月29日 18:44
  • 1106

Win64 驱动内核编程-19.HOOK-SSDT

HOOK SSDT     在 WIN64 上 HOOK SSDT 和 UNHOOK SSDT 在原理上跟 WIN32 没什么不同,甚至说 HOOK 和 UNHOOK 在本质上也没有不同,都是在指定...
  • u013761036
  • u013761036
  • 2017年03月19日 15:16
  • 740

SSDT Hook的两种方式

#ifndef _SSDT_H_ #define _SSDT_H_ #include typedef struct _SERVICE_DESCRIPTOR_TABLE { PULONG Ser...
  • l0g1n
  • l0g1n
  • 2013年11月28日 23:54
  • 1898

ShadowSSDT Hook

ShadowSSDT表的获取 这里的ShadowSSDT表的获取是通过函数KeAddSystemServiceTable来获取的。 使用这个函数的原因: 1、这个函数是已经导出的,可以在代码...
  • l0g1n
  • l0g1n
  • 2013年12月26日 00:49
  • 2655

内核编程之SSDTHook(1)原理

本博文由CSDN博主zuishikonghuan所作,版权归zuishikonghuan所有,转载请注明出处: 说驱动开发这么长时间了,也玩玩内核钩子,钩子(Hook)技术是一种截获对某一对象访问的技...
  • zuishikonghuan
  • zuishikonghuan
  • 2016年03月11日 14:19
  • 4132

SSDT Hook

看看大概的调用情况 左边是2000有的,右边是xp后走的 Ntdll.dll 中的 API 是一个简单的包装函数。 当 Kernel32.dll 中的 A...
  • zhuhuibeishadiao
  • zhuhuibeishadiao
  • 2016年04月10日 18:01
  • 1320

做X64 shadow SSDT HOOK引擎那些事儿~~

废话不多少 我做HOOK引擎遇到的事儿~~~ 先看一下代码 ,里面有详细地址 .text:FFFFF97FFF072744 NtUserGetForegroundWindow proc nea...
  • qq_18942885
  • qq_18942885
  • 2015年09月23日 22:59
  • 1201
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:关于SSDT HOOK取消内存写保护的问题
举报原因:
原因补充:

(最多只允许输入30个字)