今天调试了下uay backdoor, 其实基于ndis hook的想法的rootkit,2003年的时候我已经想过,一直没有动手了,看来实战第一. 呵呵,当然波兰的女hacker的rootkit 似乎也是这个思路,没有公布一点源码,这里我们应该感谢uay; 他在源代码里面也提到是采用了gjp的ndis hook技术---fake protocol,其实就是注册一个假协议获取协议连,从而递归来hook所有的协议驱动的一些收发函数, 关键是2000下和xp,2003的ndis_open_block的结构是不同的,gjp的代码是相当完全,不过没有太多说明,他当然是知道的. 另外是最近公开的部分kernel socket代码,就是核心层自己发包构建协议的意思.
uay的后门完全是在xp下使用xp ddk开发的,所以部分函数直接build无法通过,首先我们可以看到了函数RtlGetVersion函数,在2000的ntddk中可以查阅到此函数,但是已经声明只能在xp以上的系统中使用,我们应该替换这个为
BOOLEAN PsGetVersion( PULONG MajorVersion OPTIONAL, PULONG MinorVersion OPTIONAL, PULONG BuildNumber OPTIONAL, PUNICODE_STRING CSDVersion OPTIONAL );
适用系统是nt/2000了, 为了满足多平台这里的框架代码可能要进行调整,好,暂时修改下,build后可以发现error C4013: 'NdisGetPoolFromPacket' undefined这个错误信息,查阅ndisgetpoolfrompacket可以看到此函数只适用与xp以上系统,retrieve the handle to the packet pool from which the packet was allocated,这时候要看看 ndis_packet结构定义了,你会发现_NDIS_PACKET_PRIVATE这个东西,呵呵,所以问题就好办了,
再连续解决这几个问题后,一切ok,下面调试,我们看看系统的_NDIS50_PROTOCOL_CHARACTERISTICS
呵呵,看看2000下的
Local var @ 0xf57cccf8 Type _NDIS50_PROTOCOL_CHARACTERISTICS
+0x000 MajorNdisVersion : 0xfd ''
+0x001 MinorNdisVersion : 0x15 ''
+0x002 Filler : 0x8043
+0x004 Reserved : 1
+0x004 Flags : 1
+0x008 OpenAdapterCompleteHandler : 0x8113c020 +ffffffff8113c020
+0x00c CloseAdapterCompleteHandler : 0xf57ccdcc +fffffffff57ccdcc
+0x010 SendCompleteHandler : 0x00000246 +246
+0x010 WanSendCompleteHandler : 0x00000246 +246
+0x014 TransferDataCompleteHandler : 0x80404043 nt!KiUnlockDispatcherDatabase+0
+0x014 WanTransferDataCompleteHandler : 0x80404043 nt!KiUnlockDispatcherDatabase+0
+0x018 ResetCompleteHandler : 0xf57ccd44 +fffffffff57ccd44
+0x01c RequestCompleteHandler : 0xf57ccd9a +fffffffff57ccd9a
+0x020 ReceiveHandler : (null)
+0x020 WanReceiveHandler : (null)
+0x024 ReceiveCompleteHandler : (null)
+0x028 StatusHandler : 0x8042f09f nt!KeInsertQueue+0
+0x02c StatusCompleteHandler : 0xf537420a ndishook!DriverEntry+0
+0x030 Name : _UNICODE_STRING "瓿???"
+0x038 ReceivePacketHandler : 0x80419079 nt!ExQueueWorkItem+0
+0x03c BindAdapterHandler : 0x00000001 +1
+0x040 UnbindAdapterHandler : 0x80421fda nt!IoQueueWorkItem+0
+0x044 PnPEventHandler : 0x81119be8 +ffffffff81119be8
+0x048 UnloadHandler : 0x00000001 +1
+0x04c ReservedHandlers : [4] 0xf57ccd64
+0x05c CoSendCompleteHandler : 0x00000001 +1
+0x060 CoStatusHandler : (null)
+0x064 CoReceivePacketHandler : 0xf57ccd9a +fffffffff57ccd9a
+0x068 CoAfRegisterNotifyHandler : 0x00000020 +20