摘 要 本文通过对剪切板机制的研究,采用API HOOK技术对剪切板的系统调用函数拦截,实现了对剪切板的监控,防止敏感信息通过剪切板泄露。
关键词 剪切板;API HOOK;信息保密
1 引言
计算机的普及带来了信息交流的便利,同时也造成了信息泄露问题的日趋严重。剪切板是信息泄露的一个主要途径,对剪切板的监控是防止信息泄密的不可或缺的一环。本文通过对剪切板机制和API HOOK技术的研究,通过远程线程注入的方式替换剪切板的系统调用函数,实现对剪切板的监控。
2 剪切板机制
Windows剪切板是一种简单而且开销较小的IPC(InterProcess Communication,进程间通讯)机制,方便用户在不同程序间拷贝数据。在Windows操作系统中存在两种剪切板机制,即标准剪切板机制和OLE剪切板机制。
标准剪切板的基本机制是
【1】:Windows系统预留一块全局共享内存,提供数据的进程创建一个全局内存块,并将要传送的数据拷贝到内存中,接受数据的进程获取此内存块的句柄,并拷贝其中的数据。进程使用剪切板的一般步骤为:调用OpenClipboard()函数打开剪切板,调用GetClipboard Data()函数获取剪切板的内容,如果是设置剪切板内容,则调用EmptyClipboard()函数清空剪切板,然后调用SetCipboard Data()设置剪切板内容,调用CloseClipboard()关闭剪切板。因此,防泄密系统可以通过截获进程对USER32.dll中Open Clipboard、GetClipboardData、EmptyClipboard、SetClipboardData API函数的调用,实现对剪切板的控制。
自从OLE(Object Linking and Embedding,对象链接和嵌入)出现后,Windows操作系统出现了另一种剪切板机制――OLE剪切板机制。OLE剪切板使用IDataObject接口,相关的API函数和标准剪切板类似,主要有以下几个:
OleSetClipboard():在剪切板上放置一个IDataObject接口指针;
OleGetClipboard():从剪切板获取一个IDataObject接口指针;
OleFlushClipboard():清除剪切板中的内容,并释放IDataObject接口指针;
OleIsCurrentClipboard():判断剪切板上是否存在指定对象。
3 API HOOK
Windows API是Windows提供给应用程序的接口,通过这个接口,应用程序可以使用操作系统的所有资源。大多数应用程序都要使用很多API函数,在应用程序没有提供编程接口,也不知道源代码的情况下,API HOOK技术是控制应用程序的一种有效途径。通过API HOOK,可以实现对Win32 API函数的拦截,从而改变函数甚至应用程序的行为。
3.1 API HOOK途径
通常API HOOK的实现有以下两种途径
【2】【3】:
1)导入地址表(Import Address Table, IAT)补丁
Windows 32位操作系统中,所有可执行文件或动态链接库都是基于PE(Portable Executable)格式构建。PE文件的结构由多个成为“节”块组成,每个节中都包含了特定的内容,而且加载入内存中的PE文件的结构与磁盘上的静态文件结构完全一样。在PE文件的.idata节中包含一个IAT,它保存着所有与可执行代码应用的导入函数名称的偏移量。当调用某一导入函数时,可执行程序从IAT中找到该导入函数的入口地址,然后再跳转到执行函数代码。用户可以用自己函数的入口地址覆盖IAT中相对应的导入函数地址,实现API函数拦截。
2)修改应用程序
该方式主要通过替换函数实现的前几个字节。通过调用GetProcAddress函数得到被拦截API函数的入口地址,保存入口地址前几个字节的内容,并用一个JMP或INT指令替换。当API函数被调用时,应用程序就会直接跳转或通过中断的方式跳转到拦截函数。
3.2 API HOOK的实现步骤
API HOOK的实现一般包括两个步骤:
1) 代码注入
在Windows操作系统中,所有32位应用程序都运行在一个相对独立的私有地址空间中。API HOOK的第一步就是把自己的拦截函数做成动态链接库,注入到目标进程的地址空间中,然后再实现函数跳转。通常代码注入采用创建远程线程的方法。
创建远程线程实现代码注入的主要思想是用Virtual AllocEx函数在远程进程中申请空间,调用WriteProcess Memory将拦截函数动态链接库的名字和路径写入申请的空间,调用CreateRemoteThread和LoadLibrary函数将动态链接库映射到远程进程,等待映射完毕后,调用GetExitCodeThread获得返回码,即得到映射的动态链接库的加载基地址。至此,拦截代码已经加载到远程进程的地址空间中。
2) 挂接API
得到拦截代码加载到远程进程的地址后,就可以采用IAT补丁或应用程序修改的方法,将目标API函数的调用修改为拦截函数的调用。
4 剪切板监控的实现
本文将两种剪切板所用API函数的替代函数(如表1所示)存储到ClipboardControl.dll中,供剪切板监控程序拦截API时调用。
表1 剪切板API替换函数表
函数名
|
替换函数名
|
替换函数功能
|
SetClipboardData
|
MySetClipboardData
|
获取数据来源,收集数据源信息,对
|
OleSetClipboard
|
MyOleSetClipboard
| |
GetClipboardData
|
MyGetClipboardData
|
收集数据目的地信息,根据防泄密规则决定该操作是否放行
|
OleGetClipboard
|
MyOleGetClipboard
| |
SetClipboardViewer
|
MySetClipboardViewer
|
保证监控程序观察窗口始终处于链首,站取优先权
|
剪切板监控程序调用CreateRemoteThread函数在阅读器进程中创建远程线程,把监控代码ClipboardControl.dll注入到目标进程中,并调用ImageDirectoryEntryToData函数获取目标进程模块的输入表地址,通过遍历输入表找到USER32.dll模块对应的IMAGE_IMPORT_DESCRIPTOR,然后遍历其IAT,找到目标API在IAT中相应的表项,通过VirtualQuery获取内存信息,调用VirtualProtectEx修改内存为可读写,再调用WriteProcessMemory修改内存,使表项中API函数的地址变为系统监控代码的地址,修改完毕后调用VirtualProtectEx将内存属性改回来。当用户使用剪切板时,监控程序就能根据替换函数的代码进行相应的操作,从而达到对剪切板进行监控的目的。
5 总结
本文通过创建远程线程的方式,将API替代函数注入目标进程,通过修改IAT,对目标API函数进行替换,达到对其拦截的目的,从而实现了剪切板的监控,防止信息通过剪切板泄露。
摘 要 本文通过对剪切板机制的研究,采用API HOOK技术对剪切板的系统调用函数拦截,实现了对剪切板的监控,防止敏感信息通过剪切板泄露。
关键词 剪切板;API HOOK;信息保密
1 引言
计算机的普及带来了信息交流的便利,同时也造成了信息泄露问题的日趋严重。剪切板是信息泄露的一个主要途径,对剪切板的监控是防止信息泄密的不可或缺的一环。本文通过对剪切板机制和API HOOK技术的研究,通过远程线程注入的方式替换剪切板的系统调用函数,实现对剪切板的监控。
2 剪切板机制
Windows剪切板是一种简单而且开销较小的IPC(InterProcess Communication,进程间通讯)机制,方便用户在不同程序间拷贝数据。在Windows操作系统中存在两种剪切板机制,即标准剪切板机制和OLE剪切板机制。
标准剪切板的基本机制是
【1】:Windows系统预留一块全局共享内存,提供数据的进程创建一个全局内存块,并将要传送的数据拷贝到内存中,接受数据的进程获取此内存块的句柄,并拷贝其中的数据。进程使用剪切板的一般步骤为:调用OpenClipboard()函数打开剪切板,调用GetClipboard Data()函数获取剪切板的内容,如果是设置剪切板内容,则调用EmptyClipboard()函数清空剪切板,然后调用SetCipboard Data()设置剪切板内容,调用CloseClipboard()关闭剪切板。因此,防泄密系统可以通过截获进程对USER32.dll中Open Clipboard、GetClipboardData、EmptyClipboard、SetClipboardData API函数的调用,实现对剪切板的控制。
自从OLE(Object Linking and Embedding,对象链接和嵌入)出现后,Windows操作系统出现了另一种剪切板机制――OLE剪切板机制。OLE剪切板使用IDataObject接口,相关的API函数和标准剪切板类似,主要有以下几个:
OleSetClipboard():在剪切板上放置一个IDataObject接口指针;
OleGetClipboard():从剪切板获取一个IDataObject接口指针;
OleFlushClipboard():清除剪切板中的内容,并释放IDataObject接口指针;
OleIsCurrentClipboard():判断剪切板上是否存在指定对象。
3 API HOOK
Windows API是Windows提供给应用程序的接口,通过这个接口,应用程序可以使用操作系统的所有资源。大多数应用程序都要使用很多API函数,在应用程序没有提供编程接口,也不知道源代码的情况下,API HOOK技术是控制应用程序的一种有效途径。通过API HOOK,可以实现对Win32 API函数的拦截,从而改变函数甚至应用程序的行为。
3.1 API HOOK途径
通常API HOOK的实现有以下两种途径
【2】【3】:
1)导入地址表(Import Address Table, IAT)补丁
Windows 32位操作系统中,所有可执行文件或动态链接库都是基于PE(Portable Executable)格式构建。PE文件的结构由多个成为“节”块组成,每个节中都包含了特定的内容,而且加载入内存中的PE文件的结构与磁盘上的静态文件结构完全一样。在PE文件的.idata节中包含一个IAT,它保存着所有与可执行代码应用的导入函数名称的偏移量。当调用某一导入函数时,可执行程序从IAT中找到该导入函数的入口地址,然后再跳转到执行函数代码。用户可以用自己函数的入口地址覆盖IAT中相对应的导入函数地址,实现API函数拦截。
2)修改应用程序
该方式主要通过替换函数实现的前几个字节。通过调用GetProcAddress函数得到被拦截API函数的入口地址,保存入口地址前几个字节的内容,并用一个JMP或INT指令替换。当API函数被调用时,应用程序就会直接跳转或通过中断的方式跳转到拦截函数。
3.2 API HOOK的实现步骤
API HOOK的实现一般包括两个步骤:
1) 代码注入
在Windows操作系统中,所有32位应用程序都运行在一个相对独立的私有地址空间中。API HOOK的第一步就是把自己的拦截函数做成动态链接库,注入到目标进程的地址空间中,然后再实现函数跳转。通常代码注入采用创建远程线程的方法。
创建远程线程实现代码注入的主要思想是用Virtual AllocEx函数在远程进程中申请空间,调用WriteProcess Memory将拦截函数动态链接库的名字和路径写入申请的空间,调用CreateRemoteThread和LoadLibrary函数将动态链接库映射到远程进程,等待映射完毕后,调用GetExitCodeThread获得返回码,即得到映射的动态链接库的加载基地址。至此,拦截代码已经加载到远程进程的地址空间中。
2) 挂接API
得到拦截代码加载到远程进程的地址后,就可以采用IAT补丁或应用程序修改的方法,将目标API函数的调用修改为拦截函数的调用。
4 剪切板监控的实现
本文将两种剪切板所用API函数的替代函数(如表1所示)存储到ClipboardControl.dll中,供剪切板监控程序拦截API时调用。
表1 剪切板API替换函数表
函数名
|
替换函数名
|
替换函数功能
|
SetClipboardData
|
MySetClipboardData
|
获取数据来源,收集数据源信息,对
|
OleSetClipboard
|
MyOleSetClipboard
| |
GetClipboardData
|
MyGetClipboardData
|
收集数据目的地信息,根据防泄密规则决定该操作是否放行
|
OleGetClipboard
|
MyOleGetClipboard
| |
SetClipboardViewer
|
MySetClipboardViewer
|
保证监控程序观察窗口始终处于链首,站取优先权
|
剪切板监控程序调用CreateRemoteThread函数在阅读器进程中创建远程线程,把监控代码ClipboardControl.dll注入到目标进程中,并调用ImageDirectoryEntryToData函数获取目标进程模块的输入表地址,通过遍历输入表找到USER32.dll模块对应的IMAGE_IMPORT_DESCRIPTOR,然后遍历其IAT,找到目标API在IAT中相应的表项,通过VirtualQuery获取内存信息,调用VirtualProtectEx修改内存为可读写,再调用WriteProcessMemory修改内存,使表项中API函数的地址变为系统监控代码的地址,修改完毕后调用VirtualProtectEx将内存属性改回来。当用户使用剪切板时,监控程序就能根据替换函数的代码进行相应的操作,从而达到对剪切板进行监控的目的。
5 总结
本文通过创建远程线程的方式,将API替代函数注入目标进程,通过修改IAT,对目标API函数进行替换,达到对其拦截的目的,从而实现了剪切板的监控,防止信息通过剪切板泄露。