也谈SSDT Hook（二）

最新推荐文章于 2023-01-13 10:30:00 发布
最新推荐文章于 2023-01-13 10:30:00 发布
阅读量2.5k 收藏 6
点赞数
分类专栏： 技术文章 文章标签： hook integer attributes object function system
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/int2e/article/details/2011260
版权

一、实战篇

本不想摘代码，既然实战，就不多讲废话了，还是贴上吧，谁都有违背原则的时候:)。

代码一：经典案例，替换NtQuerySystemInformation，列取所有查询到的进程名，我使用修改CR0寄存器的方法。

#include <ntddk.h>

 

typedef struct _SYSTEM_THREADS

{

    LARGE_INTEGER KernelTime;

    LARGE_INTEGER UserTime;

    LARGE_INTEGER CreateTime;

    ULONG WaitTime;

    PVOID StartAddress;

    CLIENT_ID ClientIs;

    KPRIORITY Priority;

    KPRIORITY BasePriority;

    ULONG ContextSwitchCount;

    ULONG ThreadState;

    KWAIT_REASON WaitReason;

}SYSTEM_THREADS, *PSYSTEM_THREADS;

 

typedef struct _SYSTEM_PROCESSES

{

    ULONG NextEntryDelta;

    ULONG ThreadCount;

    ULONG Reserved[6];

    LARGE_INTEGER CreateTime;

    LARGE_INTEGER UserTime;

    LARGE_INTEGER KernelTime;

    UNICODE_STRING ProcessName;

    KPRIORITY BasePriority;

    ULONG ProcessId;

    ULONG InheritedFromProcessId;

    ULONG HandleCount;

    ULONG Reserved2[2];

    VM_COUNTERS VmCounters;

    IO_COUNTERS IoCounters;

    struct _SYSTEM_THREADS Threads[1];

}SYSTEM_PROCESSES, *PSYSTEM_PROCESSES;

 

NTSYSAPI NTSTATUS NTAPI ZwQuerySystemInformation(

        IN ULONG SystemInformationClass,

        IN PVOID SystemInformation,

        IN ULONG SystemInformationLength,

        OUT PULONG ReturnLength);

 

NTSTATUS NewNtQuerySystemInformation(

        IN ULONG SystemInformationClass,

        IN PVOID SystemInformation,

        IN ULONG SystemInformationLength,

        OUT PULONG ReturnLength);

 

// SDT Structure

typedef struct _ServiceDescriptorTableEntry

{

    unsigned int *ServiceTableBase;

    unsigned int *ServiceCounterTableBase;

    unsigned int NumberOfServices;

    unsigned char *ParamTableBase;

}ServiceDescriptorTableEntry, *PServiceDescriptorTableEntry;

 

// import KeServiceDescriptorTable

extern PServiceDescriptorTableEntry KeServiceDescriptorTable;

PServiceDescriptorTableEntry pSDT;

 

// real NtQuerySystemInformation

typedef NTSTATUS (*NTQUERYSYSTEMINFORMATION)(

                             IN ULONG SystemInformationClass,

                             IN PVOID SystemInformation,

                             IN ULONG SystemInformationLength,

                             OUT PULONG ReturnLength);

NTQUERYSYSTEMINFORMATION OldNtQuerySystemInformation;

 

UNICODE_STRING usLinkDeviceNameString;

 

VOID UnloadDriver(IN PDRIVER_OBJECT pDriverObject)

{

    ULONG _cr0;

    PDEVICE_OBJECT pDeviceObject;

 

    // recovery SSDT

    _asm

    {

        // WP off

        cli

        mov eax, cr0

        mov _cr0, eax

        and eax, 0fffeffffh

        mov cr0,eax

        // recovery SSDT

        mov ecx, DWORD PTR [ZwQuerySystemInformation]

        mov edx, [ecx+1]

        mov eax, DWORD PTR [pSDT];

        mov esi, [eax]

        mov ebx, DWORD PTR [OldNtQuerySystemInformation]

        mov [esi+edx*4],ebx

        // WP on

        mov eax, _cr0

        mov cr0, eax

        sti

    }

 

    pDeviceObject= pDriverObject->DeviceObject;

    IoDeleteSymbolicLink(&usLinkDeviceNameString);

    ASSERT(!pDeviceObject->AttachedDevice);

    if ( pDeviceObject != NULL )

    {

        IoDeleteDevice(pDeviceObject);

    }

 

}

 

NTSTATUS DriverEntry (IN PDRIVER_OBJECT pDriverObject,IN PUNICODE_STRING usRegistryPath)

{

    ULONG _cr0;

    NTSTATUS ntStatus;

    PDEVICE_OBJECT pDeviceObject;

    UNICODE_STRING usDeviceNameString;

 

    RtlInitUnicodeString(&usDeviceNameString, L"//Device//SSDTHOOK" );

    RtlInitUnicodeString(&usLinkDeviceNameString, L"//DosDevices//SSDTHOOK" );

 

    ntStatus = IoCreateDevice(

                pDriverObject,

                0,

                &usDeviceNameString,

                FILE_DEVICE_DISK_FILE_SYSTEM,

                FILE_DEVICE_SECURE_OPEN,

                FALSE,

                &pDeviceObject);

 

    if (!NT_SUCCESS(ntStatus))

    {

        return ntStatus;

    }

 

    ntStatus = IoCreateSymbolicLink(&usLinkDeviceNameString,&usDeviceNameString);

 

    if (!NT_SUCCESS(ntStatus))

    {

        IoDeleteDevice(pDeviceObject);

        return ntStatus;

    }

    pDriverObject->DriverUnload=UnloadDriver;

   

    pSDT = KeServiceDescriptorTable;

    // modify SSDT

    _asm

    {

        // WP off

        cli

        mov eax, cr0

        mov _cr0, eax

        and eax, 0fffeffffh

        mov cr0, eax

        // replace NtQuerySystemInformation with NewNtQuerySystemInformation

        mov ecx, DWORD PTR [ZwQuerySystemInformation]

        mov edx, [ecx+1]

        mov eax, DWORD PTR [pSDT]

        mov esi, [eax]

        mov edx, [esi+edx*4]

        mov DWORD PTR [OldNtQuerySystemInformation], edx

        mov ecx, [ecx+1]

        mov eax, [eax]

        mov dword ptr [eax+ecx*4], offset NewNtQuerySystemInformation

        // WP on

        mov eax, _cr0

        mov cr0, eax

        sti

    }

 

    return ntStatus;

}

 

NTSTATUS NewNtQuerySystemInformation(

        IN ULONG SystemInformationClass,

        IN PVOID SystemInformation,

        IN ULONG SystemInformationLength,

        OUT PULONG ReturnLength)

{

    ANSI_STRING asProcessName;

    NTSTATUS ntQuerySystemInformation = (OldNtQuerySystemInformation)

                                        (SystemInformationClass,

                                         SystemInformation,

                                         SystemInformationLength,

                                         ReturnLength);

    if(NT_SUCCESS(ntQuerySystemInformation))

    {

        if(5 == SystemInformationClass)

        {

            PSYSTEM_PROCESSES curr = (PSYSTEM_PROCESSES)SystemInformation;

            PSYSTEM_PROCESSES prev = NULL;

            if(curr->NextEntryDelta)((char *)curr += curr->NextEntryDelta);

 

            while(curr)

            {

                RtlUnicodeStringToAnsiString(&asProcessName, &(curr->ProcessName), TRUE);

                DbgPrint(asProcessName.Buffer);

                RtlFreeAnsiString(&asProcessName);

                if(curr != NULL)

                {

                    prev = curr;

                    if(curr->NextEntryDelta)((char *)curr += curr->NextEntryDelta);

                    else curr = NULL;

                }

            }

        }

    }

    return ntQuerySystemInformation;

}

 

案例二：修改SDT中NtCreateSection的地址，列出所有创建SECTION的文件名称，我使用了MDL。其实，搞进程很麻烦凡的，windows的大麻烦之一。

#include <ntddk.h>

 

NTSYSAPI

NTSTATUS

NTAPI ZwCreateSection(

    OUT PHANDLE  SectionHandle,

    IN ACCESS_MASK  DesiredAccess,

    IN POBJECT_ATTRIBUTES  ObjectAttributes OPTIONAL,

    IN PLARGE_INTEGER  MaximumSize OPTIONAL,

    IN ULONG  SectionPageProtection,

    IN ULONG  AllocationAttributes,

    IN HANDLE  FileHandle OPTIONAL);

 

NTSTATUS NewNtCreateSection(

    OUT PHANDLE SectionHandle,

    IN ULONG DesiredAccess,

    IN POBJECT_ATTRIBUTES ObjectAttributes OPTIONAL,

    IN PLARGE_INTEGER MaximumSize OPTIONAL,

    IN ULONG PageAttributess,

    IN ULONG SectionAttributes,

    IN HANDLE FileHandle OPTIONAL);

 

// SDT Structure

#pragma pack(1)

typedef struct _ServiceDescriptorTableEntry

{

    unsigned int *ServiceTableBase;

    unsigned int *ServiceCounterTableBase;

    unsigned int NumberOfServices;

    unsigned char *ParamTableBase;

}ServiceDescriptorTableEntry, *PServiceDescriptorTableEntry;

#pragma pack()

 

__declspec(dllimport)  ServiceDescriptorTableEntry KeServiceDescriptorTable;

#define SYSTEMSERVICE(_function) KeServiceDescriptorTable.ServiceTableBase[*(PULONG)((PUCHAR)_function+1)]

 

// real NtCreateSection

typedef NTSTATUS (*NTCREATESECTION)(

    OUT PHANDLE SectionHandle,

    IN ULONG DesiredAccess,

    IN POBJECT_ATTRIBUTES ObjectAttributes OPTIONAL,

    IN PLARGE_INTEGER MaximumSize OPTIONAL,

    IN ULONG PageAttributess,

    IN ULONG SectionAttributes,

    IN HANDLE FileHandle OPTIONAL);

NTCREATESECTION OldNtCreateSection;

 

UNICODE_STRING usLinkDeviceNameString;

 

// MDL define

PMDL  g_pmdlSystemCall;

PVOID *pMappedSystemCallTable;

#define SYSCALL_INDEX(_Function) *(PULONG)((PUCHAR)_Function+1)

#define HOOK_SYSCALL(_Function, _Hook, _Orig)/

       _Orig = (PVOID) InterlockedExchange( (PLONG) &pMappedSystemCallTable[SYSCALL_INDEX(_Function)], (LONG) _Hook)

 

#define UNHOOK_SYSCALL(_Function, _Hook, _Orig)/

       InterlockedExchange( (PLONG) &pMappedSystemCallTable[SYSCALL_INDEX(_Function)], (LONG) _Hook)

 

VOID UnloadDriver(IN PDRIVER_OBJECT pDriverObject)

{

    PDEVICE_OBJECT pDeviceObject;

 

    // recovery SSDT

    UNHOOK_SYSCALL(ZwCreateSection, OldNtCreateSection, NewNtCreateSection);

 

    // Unlock and Free MDL

    if(g_pmdlSystemCall)

    {

        MmUnmapLockedPages(pMappedSystemCallTable, g_pmdlSystemCall);

        IoFreeMdl(g_pmdlSystemCall);

    }

   

    pDeviceObject= pDriverObject->DeviceObject;

    IoDeleteSymbolicLink(&usLinkDeviceNameString);

    ASSERT(!pDeviceObject->AttachedDevice);

    if ( pDeviceObject != NULL )

    {

        IoDeleteDevice(pDeviceObject);

    }

 

}

 

NTSTATUS DriverEntry (IN PDRIVER_OBJECT pDriverObject,IN PUNICODE_STRING usRegistryPath)

{

    NTSTATUS ntStatus;

    PDEVICE_OBJECT pDeviceObject;

    UNICODE_STRING usDeviceNameString;

 

    RtlInitUnicodeString(&usDeviceNameString, L"//Device//SSDTHOOK" );

    RtlInitUnicodeString(&usLinkDeviceNameString, L"//DosDevices//SSDTHOOK" );

 

    ntStatus = IoCreateDevice(

                pDriverObject,

                0,

                &usDeviceNameString,

                FILE_DEVICE_DISK_FILE_SYSTEM,

                FILE_DEVICE_SECURE_OPEN,

                FALSE,

                &pDeviceObject);

 

    if (!NT_SUCCESS(ntStatus))

    {

        return ntStatus;

    }

 

    ntStatus = IoCreateSymbolicLink(&usLinkDeviceNameString,&usDeviceNameString);

 

    if (!NT_SUCCESS(ntStatus))

    {

        IoDeleteDevice(pDeviceObject);

        return ntStatus;

    }

    pDriverObject->DriverUnload=UnloadDriver;

   

    OldNtCreateSection =(NTCREATESECTION)(SYSTEMSERVICE(ZwCreateSection));

    g_pmdlSystemCall = MmCreateMdl(NULL, KeServiceDescriptorTable.ServiceTableBase, KeServiceDescriptorTable.NumberOfServices*4);

    if(!g_pmdlSystemCall) return STATUS_UNSUCCESSFUL;

 

    MmBuildMdlForNonPagedPool(g_pmdlSystemCall);

 

    // Change the flags of the MDL

    g_pmdlSystemCall->MdlFlags = g_pmdlSystemCall->MdlFlags | MDL_MAPPED_TO_SYSTEM_VA;

 

    pMappedSystemCallTable = MmMapLockedPages(g_pmdlSystemCall, KernelMode);

 

    // hook system calls

    HOOK_SYSCALL(ZwCreateSection, NewNtCreateSection, OldNtCreateSection);

 

    return ntStatus;

}

 

NTSTATUS NewNtCreateSection(

    OUT PHANDLE SectionHandle,

    IN ULONG DesiredAccess,

    IN POBJECT_ATTRIBUTES ObjectAttributes OPTIONAL,

    IN PLARGE_INTEGER MaximumSize OPTIONAL,

    IN ULONG PageAttributess,

    IN ULONG SectionAttributes,

    IN HANDLE FileHandle OPTIONAL)

{

    HANDLE hHandle;

    PFILE_OBJECT pFileObject;

    OBJECT_HANDLE_INFORMATION HandleInformationObject;

    ANSI_STRING asFileName;

   

    hHandle=(HANDLE)FileHandle;

    ObReferenceObjectByHandle(hHandle,0,0,KernelMode,&pFileObject,&HandleInformationObject);

    if(pFileObject != NULL)

    {

        RtlUnicodeStringToAnsiString(&asFileName,&(pFileObject->FileName),TRUE);

        DbgPrint(asFileName.Buffer);

        RtlFreeAnsiString(&asFileName);

    }

 

    return ((NTCREATESECTION)(OldNtCreateSection))(SectionHandle, DesiredAccess, ObjectAttributes, MaximumSize, PageAttributess, SectionAttributes, FileHandle);

}

以上两个例子都是在XP SP2下测试，用来验证第一部分我说的那些废话。代码本身没任何破坏性，有兴趣可以尝试，如有疑问欢迎交流。

 

二、Anti-SSDT Hook

小学时，课本有一篇寓言《自相矛盾》，当时觉得不可思议，像现在想来，矛与盾的较量永未停止。对SSDT Hook最终都要修改掉KeServiceDescriptorTable的成员ServiceTableBase所指向的内存空间的Nt*系列函数地址，那么只要扫描这段内存空间，抓出非法居民即可。原理是这样的。

先看看‘ROOTKITS: SUVVERING THE WINDOWS KERNEL’的高招。首先，获取ntoskrnl.exe模块的内存地址范围，如果所检测的SDT中的函数地址不在这个范围内就是被HOOK了。不再重复人家的代码了。

Tan Chew Keong在他的’Win2K/XP SDT Restore’大作中的基本思路是不变的，但是，他的SDT是在ntoskrnl.exe的原始文件中加载的，然后使用这个SDT跟操作系统内核中正在使用的那个进行对比，这样更精确到位，而且可以对可疑的HOOK进行恢复。相关代码在网络上有提供。这种加载SDT的方法是90210在rootkit.com中‘A more stable way to locate real KiServiceTable’提出来的。

其他的方法我在师还没有注意到，应该是有的，如果发现新方法，欢迎交流。

 

三、参考资料

1.       ‘ROOTKITS: SUVVERING THE WINDOWS KERNEL’, Greg Hoglund, James Butler

2.       ‘Defeating Kernel Native API Hookers by Direct KiServiceTable Restoration’, Tan Chew Keong

3.       ‘Win2K/XP SDT Restore 0.2 (Proof-Of-Concept)’, Tan Chew Keong

4.       ‘SDT Hooking 무력화에 대한 연구’, Dual5651

‘A more stable way to locate real KiServiceTable’, 90210 
int2e
关注
专栏目录
SSDT——框架编写与hook实例
qq_42882717的博客
04-30 514
SSDT——hook与框架SSDT框架综述SSDThook综述三级目录 SSDT框架综述 SSDT Hook 框架可不是大伙眼里的什么 .Net 框架啊，MVC 框架啊之类的，没那么复杂，算到底也就是一个 .cpp 和一个 .h 的文件而已，然后再在其中对外公开几个 API 即 OK 了 ~ SSDThook综述 ssdt竟然是一个数组，那么我们就需要先得到这个数组的首地址，于是这个结构就出来了。 typedef struct ServiceDescriptorEntry { unsigned in
SSDTHook源代码
10-09
进程隐藏和防杀。包含调用应用程序、接口动态库、驱动程序。 VS2005编译和WinDDK(7600.16385.1)编译两种方式。
SSDT HOOK的代码段
kernweak的博客
05-23 165
单核x86下 //保存5字节代码的结构 #pragma pack(1) typedef struct _TOP5CODE { UCHAR instruction; //指令 ULONG address; //地址 }TOP5CODE,*PTOP5CODE; #pragma pack( ) //ssdt表结构 typedef struct _ServiceDescrip...
SSDT表的Hook原理和示例代码
06-25
csdn的排版不是特别好，特此上传SSDT表的Hook原理文档和SSDK的Hook的示例代码。
SSDT_HOOK的学习
richard1230的博客
03-29 473
SSDT:system service descriptor table 系统服务描述符表 1.什么是SSDT 2.怎么找SSDT a.以OpenProcess为例: b.首先要知道,这个调用号本身的结构 3.代码 前言: 使用vs自带的开发人员工具,可以使用dumpbin命令，查看pe文件的导入表等信息 : 命令的意思： 使用dumpbin把 ntoskr...
SSDTHook_ssdt_SSDTHook_
10-01
标题“SSDTHook_ssdt_SSDTHook_”暗示了这个压缩包可能包含了一个关于SSDT Hooking的工具或者教程。这个工具或教程可能是为了帮助用户理解和实践如何在Windows内核层面上进行系统服务的挂钩。 描述“ssdt hooking ...
src_过pg_过windowspg_64位SSDThook实现方法_过PG_
09-30
标题中的“src_过pg_过windowspg_64位SSDThook实现方法_过PG_”似乎是指一个关于在64位Windows系统下绕过Process Guard (PG)并通过修改System Service Dispatch Table (SSDT)实现hook的技术教程。描述中的“WINDOWS ...
SSDT.zip_hook_hook nt_hook ssdt_ssdt_ssdt hook
09-23
在本压缩包中，"SSDT.zip_hook_hook nt_hook ssdt_ssdt_ssdt hook" 提到了几个关键概念，包括SSDT Hook、nt!zwReadVirtualMemory以及相关的hook技术。 1. SSDT Hook：这是一种技术，用于修改SSDT中的函数指针，以便...
ssdt_hook.rar_ssdt_ssdt hook_ssdt_hook_struct.h
09-21
标题“ssdt_hook.rar_ssdt_ssdt hook_ssdt_hook_struct.h”中提到了几个关键点： 1. **ssdt_hook.rar**：这是一个压缩包文件，可能包含了关于SSDT Hook的相关代码和资源。 2. **ssdt**：这是SSDT的缩写，表示我们要...
如何区分ssdt hook和inline hook钩子
01-25
两种常见的钩子类型是SSDT（System Service Descriptor Table）Hook和Inline Hook，它们各有特点，适用场景不同。 **SSDT Hook** SSDT是Windows操作系统中用于管理系统服务的一个表，它包含了一系列指向系统服务...
ring3恢复SSDTHOOK(易语言ssdthook恢复工具)V1.0.0绿色免费版
08-05
ring3恢复SSDT HOOK(易语言ssdt hook恢复工具)是一款易语言源码恢复辅助工具。他可以基于ring3恢复SSDTHOOK，一款很专业的工具。使用ZwSystemDebugControl，可以在ring3下读写内核空间虚拟内存，但是XP以上系统貌似就不支持写内核了，还有NtSystemDebugControl被SSDT HOOK之后也无法写进内核，有需要的朋友来下载ring3恢复S
驱动编程-ssdt hook--系统服务表
健景的博客
05-04 626
整理下自己的驱动编程。 ssdt是系统服务表，每个window系统都会维护自己的系统服务表。我们可以使用kernel detective看下ssdt表。 以openProcess为例子： 开windbg kd> u nt!ZwOpenProcess nt!ZwOpenProcess: 804ff720 b87a000000      mov     eax,7Ah  //7A 8
SSDTHook实现解析(x86)
最新发布
bluemoon_0的博客
01-13 185
SSDTHook实现解析(x86)
SSDT hook技术中KeServiceDescriptorTable 结构及获取
namelcx的专栏
07-05 2089
KeServiceDescriptorTable 结构  KeServiceDescriptorTable：是由内核（Ntoskrnl.exe）导出的一个表，这个表是访问SSDT的关键，具体结构是    typedef struct ServiceDescriptorTable {    PVOID ServiceTableBase;    PVOID ServiceCounterTabl
蹂躏D&F学习之一
EXPENF的专栏
01-15 698
X
HOOK钩子技术4 SSDT HOOK
Catch me if you can
05-13 2517
API 调用过程以一个demo测试为例，本测试查看OpenProcess 在R3-R0 下的调用。// test.cpp : Defines the entry point for the console application. //#include "stdafx.h" #include <windows.h> #include <stdio.h> int main(int argc, char
文件过滤驱动-隐藏目标文件
weixin_30357231的博客
12-22 171
代码是精简了sfilter中的代码，其实不如直接用寒江独钓里面的方法把sfilter编译成静态库 #include <ntddk.h> #include <string.h> #include "ScDetectiveFilter.h" PDRIVER_OBJECT pdoGlobalDrvObj = NULL; PDEVICE_OBJECT p...
SSDT Hook
zhuhuibeishadiao
04-10 3267
看看大概的调用情况 左边是2000有的,右边是xp后走的 Ntdll.dll 中的 API 是一个简单的包装函数。 当 Kernel32.dll 中的 API 通过 Ntdll.dll 时，会完成参数的检查再调用一个中断(int 2Eh 或者 SysEnter 指令)，从而实现从 Ring3 进入 Ring0 层 并且将所要调用的服务号(也就是在 S
Windows下Ring0级进程保护组件：SSDT HOOK技术实现
"基于SSDT HOOK 技术的Ring0级进程保护组件设计与实现" 在Windows操作系统中，实现进程保护通常需要深入到系统的核心层，即Ring0级别。这篇文档详细介绍了如何利用SSDT（System Service Descriptor Table，系统服务...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值