系统服务挂钩(HOOK)-2

最新推荐文章于 2020-01-07 15:08:45 发布
最新推荐文章于 2020-01-07 15:08:45 发布
阅读量2.3k 收藏
点赞数
分类专栏： 内核驱动 文章标签： hook integer file system object class
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lbird/article/details/1485853
版权
      上一篇介绍了系统服务挂钩并提供了最简单的例子，接下来主要记录我对这种技术应用的研究心得，比较初浅，不对请高手指教！

下面主要以代码为主（未经严格测试，仅供学习参考），实现了

1、 保护文件/目录不被删除
2、 隐藏文件/目录
3、 隐藏进程
4、 保护进程不被结束
5、 保护注册表键不被打开
6、 保护注册表键不被删除

网上有几篇文章介绍了部分功能，并提供的源码。所以我主要把对源码的理解写下来，并对源码做简化，更利于理解。

 

保护文件/目录不被删除

挂钩 ZwSetInformationFile

NTSTATUS

  ZwSetInformationFile(

    IN HANDLE  FileHandle,
    OUT PIO_STATUS_BLOCK  IoStatusBlock,
    IN PVOID  FileInformation,
    IN ULONG  Length,
    IN FILE_INFORMATION_CLASS  FileInformationClass
    );

 

当FileInformationClass= FileDispositionInformation时，FileInformation指向一个

FILE_DISPOSITION_INFORMATION 结构，其定义如下：

typedef struct _FILE_DISPOSITION_INFORMATION {
  BOOLEAN DeleteFile;
} FILE_DISPOSITION_INFORMATION;

如果DeleteFile被设为TRUE时，那么当 ZwClose 被调用后文件将被删除。这种情况下我们只要返回STATUS_NO_SUCH_FILE或STATUS_ACCESS_DENIED。

 

NTSTATUS Hook_ZwSetInformationFile(

    IN HANDLE  FileHandle,

    OUT PIO_STATUS_BLOCK  IoStatusBlock,

    IN PVOID  FileInformation,

    IN ULONG  Length,

    IN FILE_INFORMATION_CLASS  FileInformationClass

    )

{    

       NTSTATUS rc ;

       // sets the DeleteFile member of a FILE_DISPOSITION_INFORMATION to TRUE,

       // so the file can be deleted when ZwClose is called to release the last open

      // handle to the file object.

      // The caller must have opened the file with the DELETE flag set

      // in the DesiredAccess parameter.
    

       if ( FileInformationClass == FileDispositionInformation )

       {           

              // 取文件名称

              PVOID Object;                        

              if ( ObReferenceObjectByHandle( FileHandle , 0 , 0 , KernelMode ,

                        &Object , NULL ) == STATUS_SUCCESS )

              {

                     int BytesReturn ;

                     UCHAR Name[1024] ;

                     BOOLEAN *pbDeleteFile = NULL ;

                     PUNICODE_STRING lpuName = NULL ;

                   

                     extern NTSTATUS ObQueryNameString(void *, void *, int size, int *);                   

                     RtlZeroMemory( Name , sizeof(Name) ) ;

                     if ( ObQueryNameString( Object , Name , sizeof(Name) ,

                                &BytesReturn ) == STATUS_SUCCESS )

                     {

                            lpuName  = (PUNICODE_STRING) Name ;                      

                     }
                             

                     ObDereferenceObject(Object) ;

                     if ( lpuName->Length > 0 &&

                            wcscmp( lpuName->Buffer , L”要保护的文件名” ) == 0 )

                     {                         

                            return STATUS_NO_SUCH_FILE ;                      

                     }

              }

       }

       rc = gfn_RealZwSetInformationFile( FileHandle , IoStatusBlock ,

                    FileInformation , Length , FileInformationClass ) ;

       return rc ;

}

 

隐藏文件/目录

挂钩 ZwQueryDirectoryFile

注：该函数未文档化，在ntifs.h内定义，挂钩前先用 extern 声明。

extern NTSYSAPI NTSTATUS NTAPI ZwQueryDirectoryFile(

             IN HANDLE hFile,

             IN HANDLE hEvent OPTIONAL,

             IN PIO_APC_ROUTINE IoApcRoutine OPTIONAL,

             IN PVOID IoApcContext OPTIONAL,

             OUT PIO_STATUS_BLOCK pIoStatusBlock,

             OUT PVOID FileInformationBuffer,

             IN ULONG FileInformationBufferLength,

             IN FILE_INFORMATION_CLASS FileInfoClass,

             IN BOOLEAN bReturnOnlyOneEntry,

             IN PUNICODE_STRING PathMask OPTIONAL,

IN BOOLEAN bRestartQuery);

参数比较多，看得头都大了^_^，其实真正重要的参数就三个

钩子函数先调用真正的函数，当FileInfoClass= FileBothDirectoryInformation(3)时，

FileInformationBuffer返回请求的目录下的子目录和文件，是一组FILE_BOTH_DIR_

INFORMATION结构:

typedef struct _FILE_BOTH_DIR_INFORMATION {

    ULONG           NextEntryOffset;

    ULONG           FileIndex;

    LARGE_INTEGER   CreationTime;

    LARGE_INTEGER   LastAccessTime;

    LARGE_INTEGER   LastWriteTime;

    LARGE_INTEGER   ChangeTime;

    LARGE_INTEGER   EndOfFile;

    LARGE_INTEGER   AllocationSize;

    ULONG           FileAttributes;

    ULONG           FileNameLength;

    ULONG           EaSize;

    CCHAR           ShortNameLength;

    WCHAR           ShortName[12];

    WCHAR           FileName[1];

} FILE_BOTH_DIR_INFORMATION, *PFILE_BOTH_DIR_INFORMATION;

 

我们要隐藏某个文件或目录，只需要把该结点从链表中删除。需要注意的是，hEvent

参数或IoApcRoutine参数如果传入有效的值，表示函数以异步的方式处理，这时应该不做其它处理，直接调用真正的函数。

 

NTSTATUS Hook_ZwQueryDirectoryFile (

       IN HANDLE hFile,

    IN HANDLE hEvent OPTIONAL,

    IN PIO_APC_ROUTINE IoApcRoutine OPTIONAL,

    IN PVOID IoApcContext OPTIONAL,

    OUT PIO_STATUS_BLOCK pIoStatusBlock,

    OUT PVOID FileInformationBuffer,

    IN ULONG FileInformationBufferLength,

    IN FILE_INFORMATION_CLASS FileInfoClass,

    IN BOOLEAN bReturnOnlyOneEntry,

    IN PUNICODE_STRING PathMask OPTIONAL,

    IN BOOLEAN bRestartQuery

)

{

       NTSTATUS rc;

       // 执行真正的ZwQueryDirectoryFile函数

       rc = ((gfn_RealZwQueryDirectoryFile))(

              hFile,

              hEvent,

              IoApcRoutine,

              IoApcContext,

              pIoStatusBlock,

              FileInformationBuffer,

              FileInformationBufferLength,

              FileInfoClass,

              bReturnOnlyOneEntry,

              PathMask,

              bRestartQuery);

 

 

 

       if (  NT_SUCCESS(rc) &&

               FileInfoClass == FileBothDirectoryInformation &&

               hEvent == NULL &&

               IoApcRoutine == NULL )

       {           

 

              PVOID Object;          

              BOOLEAN bLastOne ;

              PFILE_BOTH_DIR_INFORMATION  pLastFileInfo ;

              PFILE_BOTH_DIR_INFORMATION  pFileInfo ;

              WCHAR wszPath[1024] = L"" ;

     

              // 取父目录路径

              if ( ObReferenceObjectByHandle( hFile , 0 , 0 , KernelMode ,

                                &Object , NULL ) == STATUS_SUCCESS )

              {

            

              // 遍历链表，重点部分!           

              pLastFileInfo = NULL;

              pFileInfo = (PFILE_BOTH_DIR_INFORMATION)FileInformationBuffer ;
 

              do

              {

                     bLastOne = !( pFileInfo->NextEntryOffset );


                     if ( pFileInfo->FileName )

                     {
                            DbgPrint( "[hooksys] find file&directory = %S " , pFileInfo->FileName ) ;

                            if ( wcsstr( pFileInfo->FileName , L"hidefile" ) != NULL )

                            {

                                   if( bLastOne )

                                   {

                                          if(pFileInfo ==

                                             (PFILE_BOTH_DIR_INFORMATION)

                                                FileInformationBuffer )
                                          {

                                                 rc = STATUS_NO_SUCH_FILE ;

                                          }

                                          else
                                          {
                                                 pLastFileInfo->NextEntryOffset = 0;

                                          }                                       

                                          break;

                                   }

                                   else

                                   {

                                          int iPos = ((ULONG)pFileInfo) –

                                                 (ULONG)FileInformationBuffer;

                                 

                                          int iLeft = (ULONG)FileInformationBufferLength - iPos –

                                                pFileInfo->NextEntryOffset;

                                        

                                          RtlCopyMemory( (PVOID)pFileInfo, (PVOID)( (char *)pFileInfo

                                                + pFileInfo->NextEntryOffset ), (ULONG)iLeft );

            

                                          continue;

                                   }

                            }

                     }

                     // 移到下一个结点

                     pLastFileInfo = pFileInfo;

                     pFileInfo = (PFILE_BOTH_DIR_INFORMATION)( (ULONG)pFileInfo

        + pFileInfo->NextEntryOffset );


              }while(!bLastOne);

       }

       return rc ; }

pFileInfo->FileName 只提供文件名或目录名，如果要取得完整路径，需要通过hFile取，如同上面的例子一样。我使用比较简单的算法，只要文件/目录名中含有”hidefile”，就让它消失！其实这个只能在explorer中隐藏，在命令提示符下仍然可以cd进去，为了更彻底点，
我拦截了ZwOpenFile

NTSTATUS Hook_ZwOpenFile(
    OUT PHANDLE  FileHandle,
    IN ACCESS_MASK  DesiredAccess,
    IN POBJECT_ATTRIBUTES  ObjectAttributes,
    OUT PIO_STATUS_BLOCK  IoStatusBlock,
    IN ULONG  ShareAccess,
    IN ULONG  OpenOptions
    )
{
    NTSTATUS rc;
   
    if ( ObjectAttributes->ObjectName )
    {
        DbgPrint( "[hooksys] ZwOpenFile = %S " ,
                    ObjectAttributes->ObjectName->Buffer ) ;

        if ( wcsstr( ObjectAttributes->ObjectName->Buffer , L"hidefile" ) != 0 )
            return STATUS_NO_SUCH_FILE ;
    }  

    rc = gfn_RealZwOpenFile( FileHandle , DesiredAccess ,
            ObjectAttributes , IoStatusBlock , ShareAccess , OpenOptions ) ;

    return rc ;
}


由于代码都大同小异，后面几项功能的代码不一一帖出了。
隐藏进程挂钩 ZwQuerySystemInformation ，未文档化的函数，函数定义参考：
NTSYSAPI
NTSTATUS
NTAPI
ZwQuerySystemInformation
(
    IN SYSTEM_INFORMATION_CLASS SystemInformationClass,
    IN OUT PVOID SystemInformation,
    IN ULONG SystemInformationLength,
    OUT PULONG ReturnLength OPTIONAL
);

可以在 winternl.h 中找到 SYSTEM_INFORMATION_CLASS 的定义
typedef enum _SYSTEM_INFORMATION_CLASS {
    SystemBasicInformation = 0,
    SystemPerformanceInformation = 2,
    SystemTimeOfDayInformation = 3,
    SystemProcessInformation = 5,
    SystemProcessorPerformanceInformation = 8,
    SystemInterruptInformation = 23,
    SystemExceptionInformation = 33,
    SystemRegistryQuotaInformation = 37,
    SystemLookasideInformation = 45
} SYSTEM_INFORMATION_CLASS;
 
当 SystemInformationClass== SystemProcessInformation时，
SystemInformation指向一个SYSTEM_PROCESS_INFORMATION 结构数组，其中每个成员表示系统中运行的每个进程。注：MSDN上如是说，但网上的代码却是说指向
SYSTEM_PROCESSES
 
struct _SYSTEM_PROCESSES
{
       ULONG NextEntryDelta;
       ULONG ThreadCount;      
       ULONG Reserved[6]; 
       LARGE_INTEGER CreateTime;      
       LARGE_INTEGER UserTime;   
       LARGE_INTEGER KernelTime;
       UNICODE_STRING ProcessName; 
       KPRIORITY BasePriority;  
       ULONG ProcessId;     
       ULONG InheritedFromProcessId;    
       ULONG HandleCount;
       ULONG Reserved2[2];      
       VM_COUNTERS VmCounters; 
       IO_COUNTERS IoCounters;    
       struct _SYSTEM_THREADS Threads[1];      
};
两个结构大小差距甚大，意义也不尽相同。
测试后发现 SYSTEM_PROCESSES可以正常工作。
 
保护进程不被结束可以挂钩 ZwTerminateProcess ,
 
lbird
关注
专栏目录
Liferay-Login-Hook-Redirect:重定向Liferay Portal的挂钩
05-22
在Liferay Portal中，开发一个登录挂钩（Login Hook）是为了自定义登录过程中的特定行为，例如，当用户成功登录后，系统可以根据特定条件将他们重定向到不同的页面。本项目"**Liferay-Login-Hook-Redirect**"专门...
hook-module:挂钩节点模块内部
05-23
var hijack = require ( 'hook-module' ) ; var hook = hijack ( { // Whether or not the hook starts enabled or not. enabled : true , // Test determines whether or not the hook is applied to a given ...
系统服务挂钩(HOOK) -1
lbird
11-30 2461
系统服务就是由操作系统提供的一组函数，类似上层开发的Win32 API。       不仅Win32 API可以挂钩，系统服务也可以挂钩。开发者为了捕获各种事件，可以挂钩文件创建函数CreateFile，注册表访问函数RegCreateKey。使用挂钩可以改变操作系统的行为，只要适当地改变挂钩的数据结构和上下文，足够引起新的行为。例如，通过挂钩NtCreateFile系统服务，可以保护敏感文件
系统挂钩捕捉键盘操作
hackxz's Blog
01-18 1043
来源：不详。在WINDOWS系统下，应用程序常常要截获其他程序的消息，并加以处理（例如跟踪键盘或鼠标的按键状况等）。现在，我们假设在前台进行正常操作，在后台利用HOOK程序为系统安装一个键盘挂钩，当有按键操作时，系统发给键盘挂钩对应的消息，而这些消息被HOOK程序截获，并加以相应的处理，这样就可以监视键盘的使用状况了。　　　　一.实现方法　　DELPHI提供了强大的可视化集成开发环境，它使得在Wi
执行体的重定向
05-10 1722
题目：特洛伊执行体重定向作者：Greg Hoglund, Gary McGraw翻译：Rhett//--------------------------------------------------------------一旦入侵者拿到系统的root权限，所有监视和审核系统的效能都会大打折扣，甚至是在硬件层面的数据审核和加密校验措施也能被挫败。唯一例外的是被隔离存放的审核和校验系统所在的硬件设备
8种HOOK技术
liuhaidon1992的博客
01-07 5448
1.IAT_HOOK IAT是程序中存储导入函数地址的数据结构，如果HOOK了导入函数地址。就可以在函数调用的时候，将函数流程HOOK到我们指定的流程。但是我个人觉得这种方式最好要结合DLL注入的方式，如果单纯的使用HOOK，那么就需要将需要执行的操作的shellcode写入目标进程，如果操作复杂，可能需要的shellcode量特别大，所以我们需要借助DLL注入，这样就将我们需要执行的代码写入...
EasyHook-2.7.6270.0.zip_c# easy hook_easyhook_easyhook 2.7_eas
09-24
在标题和描述中提到的"EasyHook-2.7.6270.0.zip"是一个包含EasyHook库版本2.7.6270.0的压缩包，适用于C#开发者和其他.NET环境下的语言。"EasyHook"这个名字本身就代表了其核心功能——简化挂钩过程，使得开发者能够...
hook-zwquerysysteminformation.rar_hook_进程隐藏
07-14
在IT领域，尤其是系统安全和恶意软件分析中，"hook-zwquerysysteminformation.rar_hook_进程隐藏"这个主题涉及到的是Windows操作系统中的一种高级技术——钩子（Hook）机制，以及如何利用它来隐藏进程。这里我们将...
WHMCS-Action-Hook-Factory：免费收集动作挂钩，报告和模块，以完善您的WHMCS
02-04
两种系统都是各自领域中无可争议的市场领导者。 WordPress达到了60％的市场份额。 WHMCS吸引了全球约50.000个客户。 它们既灵活又可以满足多种业务需求。 在它们中，不仅有控制面板和博客平台。 也就是说，相似之...
内核钩子模板
lbird
10-16 2148
#include #include #pragma pack(1)typedef struct ServiceDescriptorEntry {    unsigned int *ServiceTableBase;    unsigned int *ServiceCounterTableBase; //Used only in checked build    unsigned int Numbe
hook小结
03-24 2504
 我们安全爱好者，都接触过Rootkit，它对我们入侵后的保护提供了强大的支持。现今比较流行的Rootkit有Hxdef，NtRootkit和AFX Rootkit，而且Hxdef和AFX Rootkit还提供了源代码，对我们的学习提供了很大的方便。这些Rootkit都是使用HOOK技术实现的，欺骗的是用户，而不是操作系统。使用HOOK开发Rootkit是比较简单的，虽然现在也有很多其他的技术，但
(转载)在Windows 2003中HOOK ZwCreateProcessEx
Kendiv's Box
03-29 3015
创建时间：2005-03-09文章属性：原创文章提交：suei8423 (suei8423_at_163.com)作者：ZwelL工作需要，想控制进程的创建，于是HOOK了ZwCreateProcess，后来发现xp和2003中创建进程的都用NtCreateProcessEx(参见[1]）。但是ZwCreateProcessEx未被ntoskrnl.exe导出，用softice的ntcall命令也
分享内核钩子实例 稳定
爱.NET
10-10 232
分享内核钩子实例 稳定 From:Internet #include <ntddk.h>#include <ntimage.h> #pragma pack(1)typedef struct ServiceDescriptorEntry { unsigned int *ServiceTableBase; unsigned int *ServiceCounterTable...
objectHook简单介绍
o330820350的专栏
09-12 1097
标 题: 【原创】objectHook简单介绍 作 者: ggdd 时 间: 2011-01-15,13:13:20 链 接: http://bbs.pediy.com/showthread.php?t=128161 其实这东西很多大牛多玩腻了的东西，看下论坛上比较少这类的，就来献献丑，科普一下 大牛们直接 可以飘过，这东西主要是自我复习一下OBJECT的一些知识，技术这东西久了不弄
ZwOpenFile [WDK翻译]
死胖子的博客
02-03 1804
ZwOpenFile 提供了一个句柄，通过它可以操作一个文件的数据或者是文件状态，或是文件的属性。ZwOpenFile 提供了ZwCreateFile的一个功能子集（ZwCreateFile能做更多事）.
Object Hook 简单介绍
liujiayu2的专栏
07-18 1468
其实这东西很多大牛多玩腻了的东西，看下论坛上比较少这类的，就来献献丑，科普一下 大牛们直接 可以飘过，这东西主要是自我复习一下OBJECT的一些知识，技术这东西久了不弄容易忘记，所以 拿出来跟和我一样菜的菜鸟们分享一下。如果有不对的地方欢迎大家指正，这样对于自己也进步得 快点，多多交流，互相学习，水平才能提高得快。    第一我们先看下OBJECT的组成 主要是3部分 如下图
磁盘文件操作_ZwCreateFile_ZwOpenFile_ZwReadFile_ZwWriteFile_ZwSetInformationFile_ZwQueryInformationFile
01-27 3173
#include"ntddk.h" VOID xiezai1(PDRIVER_OBJECT qudongduixiang) { KdPrint(("驱动卸载 历程\n")); return; } NTSTATUS DriverEntry(PDRIVER_OBJECT qudongduixiang, PUNICODE_STRING zhucebiao1) { HANDLE wenjianju
API Hook技术详解与应用
"API Hook完全手册是一篇关于API Hook技术的详细指南，主要探讨了如何在其他进程中注入代码以及如何挂钩API。文章作者基于过去编写系统行为监测程序的经验，分享了相关知识，以帮助读者理解和实现API Hook。" 在...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值