HOOK Object XXProcedure 保护进程

 

HOOK Object XXProcedure 保护进程

lkd> !process
PROCESS 87cec960  SessionId: 0  Cid: 0bf8    Peb: 7ffd6000  ParentCid: 0c7c
    DirBase: 0ab405e0  ObjectTable: e2a94618  HandleCount: 353.
    Image: windbg.exe

lkd> !object 87cec960 
Object: 87cec960  Type: (8a5f8e70) Process
    ObjectHeader: 87cec948 (old version)
    HandleCount: 3  PointerCount: 55

 lkd> dt _object_header 87cec948
nt!_OBJECT_HEADER
   +0x000 PointerCount     : 55
   +0x004 HandleCount      : 3
   +0x004 NextToFree       : 0x00000003
   +0x008 Type             : 0x8a5f8e70 _OBJECT_TYPE
   +0x00c NameInfoOffset   : 0 ''
   +0x00d HandleInfoOffset : 0 ''
   +0x00e QuotaInfoOffset  : 0 ''
   +0x00f Flags            : 0x20 ' '
   +0x010 ObjectCreateInfo : 0x899c2b40 _OBJECT_CREATE_INFORMATION
   +0x010 QuotaBlockCharged : 0x899c2b40
   +0x014 SecurityDescriptor : 0xe2bcc349
   +0x018 Body             : _QUAD

lkd> dt 0x8a5f8e70 _OBJECT_TYPE
nt!_OBJECT_TYPE
   +0x000 Mutex            : _ERESOURCE
   +0x038 TypeList         : _LIST_ENTRY [ 0x8a5f8ea8 - 0x8a5f8ea8 ]
   +0x040 Name             : _UNICODE_STRING "Process"
   +0x048 DefaultObject    : (null)
   +0x04c Index            : 5
   +0x050 TotalNumberOfObjects : 0x4b
   +0x054 TotalNumberOfHandles : 0xca
   +0x058 HighWaterNumberOfObjects : 0x51
   +0x05c HighWaterNumberOfHandles : 0xd3
   +0x060 TypeInfo         : _OBJECT_TYPE_INITIALIZER
   +0x0ac Key              : 0x636f7250
   +0x0b0 ObjectLocks      : [4] _ERESOURCE

lkd> dt _OBJECT_TYPE_INITIALIZER 0x8a5f8e70 +60
nt!_OBJECT_TYPE_INITIALIZER
   +0x000 Length           : 0x4c
   +0x002 UseDefaultObject : 0 ''
   +0x003 CaseInsensitive  : 0 ''
   +0x004 InvalidAttributes : 0xb0
   +0x008 GenericMapping   : _GENERIC_MAPPING
   +0x018 ValidAccessMask  : 0x1f0fff
   +0x01c SecurityRequired : 0x1 ''
   +0x01d MaintainHandleCount : 0 ''
   +0x01e MaintainTypeList : 0 ''
   +0x020 PoolType         : 0 ( NonPagedPool )
   +0x024 DefaultPagedPoolCharge : 0x1000
   +0x028 DefaultNonPagedPoolCharge : 0x290
   +0x02c DumpProcedure    : (null)
   +0x030 OpenProcedure    : (null)
   +0x034 CloseProcedure   : (null)
   +0x038 DeleteProcedure  : 0x805d2cdc     void  nt!PspProcessDelete+0
   +0x03c ParseProcedure   : (null)
   +0x040 SecurityProcedure : 0x805f9150     long  nt!SeDefaultObjectMethod+0
   +0x044 QueryNameProcedure : (null)
   +0x048 OkayToCloseProcedure : (null)
 

 看到最后几个XXXXProcedure了吧，在操作EPROCESS的时候会调用相应的函数，具体是哪个函数由操作的种类决定，调用的时候先检查是否为null，不为空就call，为null就算了。

有些函数的返回值不会对操作产生影响，而有些则会直接影响操作是否成功，而且Win2000和XP Vista系统还不一样。

 在Win2000和XP Vista系统下各个函数的参数有可能不一样，比如OpenProcedure 在2000下是8个参数，XP和Vista下是9个参数。

通过Hook这些可以实现许多猥琐的事，不仅仅进程的EPROCESS了，每一个object都有这样函数。