YJX_Driver_019_读出原函数地址

1、

第19课、读出原函数地址-
　　A、集成上一课代码至GetNt_CurAddr函数
　　B、MmGetSystemRoutineAddress
　　C、书写GetNt_OldAddr函数
　　D、测试结果

【120】第18课的代码

【215】集成上一课代码至GetNt_CurAddr函数

ULONG GetNt_CurAddr() //获取当前SSDT_NtOpenProcess的当前地址
{

　　LONG *SSDT_Adr,SSDT_NtOpenProcess_Cur_Addr,t_addr; 
　　KdPrint(("驱动成功被加载中.............................\n"));
　　//读取SSDT表中索引值为0x7A的函数
　　//poi(poi(KeServiceDescriptorTable)+0x7a*4)
　　t_addr=(LONG)KeServiceDescriptorTable->ServiceTableBase;
　　KdPrint(("当前ServiceTableBase地址为%x \n",t_addr));
　　SSDT_Adr=(PLONG)(t_addr+0x7A*4);
　　KdPrint(("当前t_addr+0x7A*4=%x \n",SSDT_Adr)); 
　　SSDT_NtOpenProcess_Cur_Addr=*SSDT_Adr;
　　KdPrint(("当前SSDT_NtOpenProcess_Cur_Addr地址为%x \n",SSDT_NtOpenProcess_Cur_Addr));
　　return SSDT_NtOpenProcess_Cur_Addr;
}

【520】本节课 需要另外构建一个函数

　　ULONG GetNt_OldAddr();

【590】先看 函数MmGetSystemRoutineAddress

PVOID MmGetSystemRoutineAddress
(
　　__in PUNICODE_STRING SystemRoutineName
);

ZC: 应该就是 根据 内核函数名 得到 内核函数的地址

 

【855】

ULONG GetNt_OldAddr()
{
　　UNICODE_STRING Old_NtOpenProcess;
　　ULONG Old_Addr;
　　RtlInitUnicodeString(&Old_NtOpenProcess,L"NtOpenProcess");　　//【1005】这里"NtOpenProcess"填入的是导出函数的名字
　　Old_Addr=(ULONG)MmGetSystemRoutineAddress(&Old_NtOpenProcess);　　// 取得NtOpenProcess的地址
　　KdPrint(("取得原函数NtOpenProcess的值为 %x",Old_Addr));
　　return Old_Addr;
}

　　【920】这里就 不使用PUNICODE_STRING了  直接使用UNICODE_STRING，这样就不用动态分配内存了。（ZC: 忘了内核中如何动态分配内存了...本教程会讲到吗？看了下标题，可能第33讲会讲到）

　　【1005】这里"NtOpenProcess"填入的是导出函数的名字。若传入的 函数名，不是一个导出函数 的话，MmGetSystemRoutineAddress就返回NULL了（ZC: 记得以前看过代码，有人使用 未公开的API函数，这应该也是 导出函数，只是 ms没有公开 文档上查不到而已吧？）

　　　　ZC: 这里的一直讲到的"导出函数"，指的是 内核导出给应用层使用的函数？还是指 DLL的导出函数？

　　【1220】ZC: MmGetSystemRoutineAddress 本来返回的是void*，他却强转为 ULONG。我的思考是 Windows下，void* 能兼容x86/x64，而ULONG就不一定了...（参看:"http://blog.chinaunix.net/uid-25513153-id-182196.html"）

 

【1730】

NTSTATUS DriverEntry(PDRIVER_OBJECT _pDrvierObject, PUNICODE_STRING B)
{

　　ULONG cur, old;

　　cur = GetNt_CurAddr() ;

　　old = GetNt_OldAddr();

　　if (cur != old)

　　{

　　　　// 【2830】写入 我们的 JMP指令

　　　　KdPrint(("NtOpenProcess被Hook了"));

　　}

　　else

　　　　KdPrint(("NtOpenProcess没有被Hook"));

　　_pDrvierObject->DriverUnload = DDK_Unload;
　　return 1;
}

【2015】编译测试

【2195】打开KernelDetective看一下，∵他的机器 已经加载过 hook NtOpenProcess的驱动 了，∴ KernelDetective显示的信息是 NtOpenProcess 已经是被hook的状态了

　　【2300】加载一下我们的驱动

　　【2450】对比一下 KernelDetective 和 DebugView 中的信息 是一致的

 

 【2605】ZC: 看到，hook NtOpenProcess 的 那个驱动 还是 sx.sys

　　【2648】如果 sx.sys 对 hook NtOpenProcess 的那个函数 做了一些措施的话（如 循环的监测/修复 或者 检测到函数被改动就直接蓝屏），那么 我们修改首指令为JMP的方案将会行不通（如被 修复/还原 或者 机子蓝屏），那我们采取的措施是：

　　　　(1)、避开 sx.sys 监测的指令，就是 在下面一点的指令中 选择一条指令改为 我们的JMP，但是 要注意堆栈平衡

　　　　(2)、或者 如果 sx.sys搜索的字串是0xE8(也就是JMP指令)，那我们就不使用JMP指令 改用 jne之类的指令、je(0x74)之类的指令

　　　　　　ZC: 改为 jne/je 值了IDE指令的话，还要注意 那几个寄存器的状态(zero寄存器 等)

　　　　ZC: 个人感觉 还有一种修改方案 : ∵ hook NtOpenProcess 的那个函数，肯定最后还是要调用 NtOpenProcess的，于是分析 hook NtOpenProcess 的那个函数 修改其中的指令 使之直接跳转到 执行NtOpenProcess 的地方。

　　　　后面再详细的讲解

2、

 

转载于:https://www.cnblogs.com/debugskill/p/5346491.html