windows内核 win7 和 xp下 hook过滤KiFastCallEntry的不同之处（远离360 hook）

  

 

 我们先看下hook  kiFastCallentry 点的汇编代码：

 

winXp： 

FF05 38060000  inc    dword ptr [638]
80542656  8BF2  mov    esi, edx
80542658  8B5F 0C  mov    ebx, dword ptr [edi+C]
8054265B  33C9  xor    ecx, ecx
8054265D  8A0C18  mov    cl, byte ptr [eax+ebx]
80542660  8B3F  mov    edi, dword ptr [edi]
80542662  8B1C87  mov    ebx, dword ptr [edi+eax*4]
80542665  2BE1  sub    esp, ecx
80542667  C1E9 02  shr    ecx, 2
8054266A  8BFC  mov    edi, esp
8054266C  3B35 34315680  cmp    esi, dword ptr [80563134]
80542672  0F83 A8010000  jnc    80542820
80542678  F3:A5  rep(e) movsw/d  dword ptr es:esi, es:edi
8054267A  FFD3  call   ebx

 

红色显示的是kiFastCallEntry函数内  调用 ssdt或者shadow ssdt的过程，eax是调用号，ebx是调用的函数地址edi是ssdt 或者shadow SSDT表的地址，以上是XP的

 

win7:

 

mov edx, dword ptr [edi+C]
mov edi, dword ptr [edi]
mov cl, byte ptr [eax+edx]
mov edx, dword ptr [edi+eax*4]
sub esp, ecx
shr ecx, 2
mov edi, esp
cmp esi, dword ptr [8418584C]
jnb 8405A3F5
rep movs dword ptr es:[edi], dword ptr [esi]
test byte ptr [ebp+6C], 1
je short 8405A1E5
mov ecx, dword ptr fs:[124]
mov edi, dword ptr [esp]
mov dword ptr [ecx+13C], ebx
mov dword ptr [ecx+12C], edi
mov ebx, edx
test byte ptr [84152688], 40
setne byte ptr [ebp+12]
jne 8405A584
call ebx

 

红色显示的是kiFastCallEntry函数内  调用 ssdt或者shadow ssdt的过程，eax是调用号，edx是调用的函数地址edi是ssdt 或者shadow SSDT表的地址，以上是win7的

可以看到 winXp和win7 最后都是通过call ebx来调用函数，只是winXP 前面直接把地址 给ebx,而win7是先把地址给edx，后面再把edx给ebx,所以但是他们都有相同的特征码

80542665  2BE1  sub    esp, ecx
80542667  C1E9 02  shr    ecx, 2
8054266A  8BFC  mov    edi, esp

 

所以在Hook   KiFastCallEntry时 可以 搜索相同的特征码，然后在返回过滤ssdt  或者shadow ssdt函数时，处理不同的寄存器，

在驱动初始化的时候 或者KiFastCallEntry的地址后，搜索以上特征码，然后在判断这里是 ebx 还是 edx,然后 就可以动态的返回ebx还是edx 地址

1.初始判断

 

 if ( dwCallType == 0x1C8B )
   {
    pSysCallFilterInfo->FastCallType = FAST_CALL_EBX;
   }
   else if ( dwCallType == 0x148B  )
   {
    pSysCallFilterInfo->FastCallType = FAST_CALL_EDX;
   }

 

2.Hook filter 动态处理

#pragma LOCKEDCODE

__declspec(naked) NTSTATUS FakeKiFastCallEntry(VOID)
{
 __asm{
  pop esi
  pushfd
  pushad
 
  mov     ecx,dword ptr [pSysCallFilterInfo]
  cmp     dword ptr [ecx + 29h],FAST_CALL_EBX   //如果是ebx则
  jne     _fun2
 

 

//ebx的情况
  push edi
  push ebx
  push eax

  mov esi,0x12345678 //特征码驱动初始化时 修改为自己的过滤函数
  call esi
  mov  dword ptr [esp+10h],eax
  jmp  _exit
_fun2:
  mov     ecx,dword ptr [pSysCallFilterInfo]
  cmp     dword ptr [ecx + 29h],FAST_CALL_EDX //edx的情况
  jne     _exit
  
  push edi
  push edx
  push eax

  mov esi,0x12345678  //特征码驱动初始化时 修改为自己的过滤函数
  call esi
  mov  dword ptr [esp+14h],eax  //注意这里要改成esp + 0x14
 
_exit: 
  popad
  popfd
  nop
  nop
  nop
  nop
  nop
  nop
  nop
  nop
  nop
  nop
  nop
  nop
  push g_ulRetEntry
  retn
  __emit 0xCC
  __emit 0xCC
  __emit 0xCC
  __emit 0xCC
 }

}

 

以上处理 适合在winXp win7中