Hook IofCallDriver 代码收集

最新推荐文章于 2023-04-24 19:45:39 发布
最新推荐文章于 2023-04-24 19:45:39 发布
阅读量111 收藏
点赞数
原文链接：http://www.cnblogs.com/Safe3/archive/2009/06/24/1510120.html
版权

Inline Hook IofCallDriver 截获所有IRP 

 

 

首先声明这个是菜鸟—我的学习日记,不是什么高深文章,高手们慎看.

前段时间搞了一些Inline HOOK API的demo,例如对NtQueryDirectoryFile Inline HOOK 进行文件的隐藏,(恰好NtQueryDirectoryFile 在SSDT有导出,也可以采用改SSDT来实现HOOK.,只不过Inline HOOK 隐蔽性好点).而NtQueryDirectoryFile是调用IofCallDriver的(我猜的),那么HOOK IofCallDriver过滤掉关于MajorFunction == IRP_MJ_QUERY_INFORMATION的IO包就应该能隐藏文件的(我猜的,到底是不是这个MajorFunction咧,不知道),一开始就说明了我是个菜鸟,所以怎么过滤掉特定的IO包没写出来,只写了HOOK IofCallDriver的方法.流氓作者们有本事你就A,能A是你们的本事,反正我不怕流氓.

因为在SSDT里面是不存在这个函数的,那么就要Inline HOOK IofCallDriver, 我上网找了好久都没有现成的代码(或许是我愚笨找不到),So自己动手.

这里说明一下IoCallDriver不是函数,是一个宏指向IofCallDriver的.恰好IofCallDriver已经导出,我们不用MmGetSystemRoutineAddress来去IofCallDriver的地址了.

要用WinDbg来看下IofCallDriver的入口是什么东西:

由于微软对单核和多核的CPU编写了不同的内核, ntoskrnl.exe用于单核CPU的机器,而ntkrnlpa.exe则为多核,由于我的VPC是虚拟出单核的,所以本文主要围绕ntoskrnl.exe的IofCallDriver来写.(如果现实中的机器有两台就好了,可以调试ntkrnlpa.exe的IofCallDriver.)

    

The beginning of the IofCallDriver function

     ---------------------------------------------------------------------------------------

     nt!IoCallDriver: if ntoskrnl.exe

     804e47c5 ff2500395580    jmp     dword ptr [nt!KeTickCount+0x1480 (80553900)]<-Detour here

     804e47cb 90              nop

     804e47cc 90              nop

     804e47cd 90              nop

     804e47ce 90              nop

     804e47cf 90              nop

     804e47d0 fe4a23          dec     byte ptr [edx+23h]     I try to detour here yet,and work.

     804e47d3 8a4223          mov     al,byte ptr [edx+23h] But I think is not well.

     804e47d6 84c0            test    al,al

     804e47d8 0f8e40840300    jle     nt!IoSetFileOrigin+0x3ce2 (8051cc1e)

     804e47de 8b4260          mov     eax,dword ptr [edx+60h]

     804e47e1 83e824          sub     eax,24h

     804e47e4 56              push    esi

     804e47e5 894260          mov     dword ptr [edx+60h],eax

     804e47e8 894814          mov     dword ptr [eax+14h],ecx

     804e47eb 0fb600          movzx   eax,byte ptr [eax]

     804e47ee 8b7108          mov     esi,dword ptr [ecx+8]

     804e47f1 52              push    edx

     804e47f2 51              push    ecx

     804e47f3 ff548638        call    dword ptr [esi+eax*4+38h]

     ---------------------------------------------------------------------------------------

     nt!IofCallDriver: if ntkrnlpa.exe

     804ef09c ff2580475580    jmp     dword ptr [nt!KeTickCount+0x1780 (80554780)]<-Detour here

     804ef0a2 cc             int     3

     804ef0a3 cc              int     3

     804ef0a4 cc              int     3

     804ef0a5 cc              int     3

     804ef0a6 cc              int     3

     804ef0a7 cc              int     3

 

这里要用WinDbg来跟踪IofCallDriver的走向,我也是刚刚学会这么做,不会的朋友可以参考 “使用VPC进行Windows内核调试” 这篇文章,在这里

804e47c5 ff2500395580    jmp     dword ptr [nt!KeTickCount+0x1480 (80553900)]

设置断点,并单步跟进,这时发现运行流程是这样的:

V-- 804e47c5 ff2500395580    jmp     dword ptr [nt!KeTickCount+0x1480 (80553900)]

|    804e47cb 90              nop

|    804e47cc 90              nop

|    804e47cd 90              nop

|    804e47ce 90              nop

|    804e47cf 90              nop

--> 804e47d0 fe4a23          dec     byte ptr [edx+23h]

     804e47d3 8a4223          mov     al,byte ptr [edx+23h]

     804e47d6 84c0            test    al,al

     804e47d8 0f8e40840300    jle     nt!IoSetFileOrigin+0x3ce2 (8051cc1e)

     804e47de 8b4260          mov     eax,dword ptr [edx+60h]

我尝试过两种做法都可行,这里假设0xFFFFFFFF是自己函数的地址(最后给出的代码将会实现第二种做法):

l          804e47d0 fe4a23          dec     byte ptr [edx+23h]

     804e47d3 8a4223          mov     al,byte ptr [edx+23h]

     804e47d6 84c0            test    al,al

     改成: 0xEA, 0xFF, 0xFF, 0xFF, 0xFF, 0x08, 0x00, 0x90 刚好8个字节

l          804e47c5 ff2500395580    jmp     dword ptr [nt!KeTickCount+0x1480 (80553900)]

804e47cb 90              nop

改成: 0xEA, 0xFF, 0xFF, 0xFF, 0xFF, 0x08, 0x00 刚好7个字节

然后在自己的函数中回跳到 804e47d7 或 804e47cc :

_emit 0xEA

_emit 0xd7 or cc

_emit 0x47

_emit 0x4e

_emit 0x80

_emit 0x80

_emit 0x00

好,至此思路和原理已经有了,下面是实现Inline Hook IofCallDriver的代码(实现上面第二种方法)

inline_hook_IofCallDriver.c///

#include <ntddk.h>

 

#define SystemModuleInformation 11

 

typedef struct _SYSTEM_MODULE_INFORMATION {//Information Class 11

     ULONG    Reserved[2];

     PVOID    Base;

     ULONG    Size;

     ULONG    Flags;

     USHORT   Index;

     USHORT   Unknown;

     USHORT   LoadCount;

     USHORT   ModuleNameOffset;

     CHAR ImageName[256];

} SYSTEM_MODULE_INFORMATION,*PSYSTEM_MODULE_INFORMATION;

 

typedef struct _MODULES{

     ULONG                            dwNumberOfModules;

     SYSTEM_MODULE_INFORMATION   smi;

} MODULES, *PMODULES;

 

NTSYSAPI

NTSTATUS

NTAPI

NtQuerySystemInformation(

     IN ULONG SysInfoClass,

     IN OUT PVOID SystemInformation,

     IN ULONG SystemInformationLength,

     OUT PULONG RetLen

     );

 

ULONG nCountCPU;

PDEVICE_OBJECT _DeviceObject;

PIRP _Irp;

PIO_STACK_LOCATION _Iosl;

ANSI_STRING Ansi;

 

// assembles to jmp far 0008:FFFFFFFF where FFFFFFFF is address of

// our detour function, plus one NOP to align up the patch

char DetourCode[] = { 0xEA, 0xFF, 0xFF, 0xFF, 0xFF, 0x08, 0x00 };

char BackupCode[] = { 0xFF, 0x25, 0x00, 0x39, 0x55, 0x80, 0x90 };

 

__declspec(naked) NTSTATUS __fastcall

Detour_IofCallDriver(IN PDEVICE_OBJECT DeviceObject,

                        IN OUT PIRP Irp)

{

     __asm

     {

         pushad

         pushfd

     }

 

     __asm

     {

         push ecx

         pop dword ptr _DeviceObject

         push edx

         pop dword ptr _Irp

     }

 

     _Iosl = IoGetNextIrpStackLocation(_Irp);

     RtlUnicodeStringToAnsiString(&Ansi,&_DeviceObject->DriverObject->DriverName,TRUE);

     DbgPrint("Irp: 0x%02X - Driver: %s"n", _Iosl->MajorFunction, Ansi.Buffer);

     RtlFreeAnsiString(&Ansi);

 

     __asm

     {

         popfd

         popad

     }

 

     __asm

     {

         cmp nCountCPU, 2

         jae MoreCPU

         // jmp FAR 0x08:FFFFFFFF

         _emit 0xEA

         _emit 0xFF

         _emit 0xFF

         _emit 0xFF

         _emit 0xFF

         _emit 0x08

         _emit 0x00

MoreCPU:

         // 由于不会调试,所以ntkrnlpa.exe的IofCallDriver的hook就放在这里先啦

         _emit 0xEA

         _emit 0xFF

         _emit 0xFF

         _emit 0xFF

         _emit 0xFF

         _emit 0x08

         _emit 0x00

     }

}

 

VOID InterruptEnable()

{

     __asm

     {

         MOV EAX, CR0 //move CR0 register into EAX

         OR EAX, 10000H     //enable WP bit

         MOV CR0, EAX //write register back

         STI                //enable interrupt

     }

}

 

VOID InterruptDisable()

{

     __asm

     {

         CLI                    //dissable interrupt

         MOV EAX, CR0       //move CR0 register into EAX

         AND EAX, NOT 10000H    //disable WP bit

         MOV CR0, EAX       //write register back

     }

}

 

NTSTATUS DetourFunctionIofCallDriver()

{

     int i = 0;

     MODULES pModules;

     //Get kernel filename,ntoskrnl.exe if single CPU,else ntkrnlpa.exe

     NtQuerySystemInformation(SystemModuleInformation, &pModules, sizeof(MODULES), NULL);

     if(memcmp(pModules.smi.ModuleNameOffset+pModules.smi.ImageName, "ntoskrnl.exe", sizeof("ntoskrnl.exe")) == 0)

         nCountCPU = 1;

     else if(memcmp(pModules.smi.ModuleNameOffset+pModules.smi.ImageName, "ntkrnlpa.exe", sizeof("ntkrnlpa.exe")) == 0)

         nCountCPU = 2;

     else return STATUS_UNSUCCESSFUL;

 

     // now, stamp in the return jmp into our detour function

     while(++i)

     {

         // we found the address 0xFFFFFFFF stamp it w/ the correct address

         if(!memcmp((unsigned char *)Detour_IofCallDriver + i, &DetourCode[1], 4))

         {

              *( (unsigned long *)((unsigned char *)Detour_IofCallDriver + i) ) = (unsigned long)IofCallDriver + 0x0B;

              break;

         }

     }

 

     // stamp in the target address of the far jmp

     *( (unsigned long *)(&DetourCode[1]) ) = (unsigned long)Detour_IofCallDriver;

 

     //overwrite the bytes in the kernel function

     //to apply the detour jmp

     InterruptDisable();

     memcpy(BackupCode, IofCallDriver, 7);

     memcpy(IofCallDriver, DetourCode, 7);

     InterruptEnable();

     return STATUS_SUCCESS;

}

 

VOID UnDetourFunctionIofCallDriver()

{

     //recovery kernel function

     InterruptDisable();

     memcpy(IofCallDriver, BackupCode, 7);

     InterruptEnable();

}

 

VOID OnUnload( IN PDRIVER_OBJECT DriverObject )

{

    UnDetourFunctionIofCallDriver();

}

 

NTSTATUS DriverEntry( IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath )

{

     DriverObject->DriverUnload = OnUnload;

    if(STATUS_SUCCESS != DetourFunctionIofCallDriver())

     {

        DbgPrint("Detour Failure on IofCallDriver!"n");

        return STATUS_UNSUCCESSFUL;

    }   

    else return STATUS_SUCCESS;

}

         至此,文章都写完了,其实都没什么高深的知识,只是我觉得难而已^_^.在hook这个函数的过程中遇到了好多困难,也去提过问题,这里要感谢hopy大哥.也参考了一些文章,例如: “IRP 乱杂谈”“【原创】从内核层保护文件不被删除- 看雪软件安全论坛”“使用VPC进行Windows内核调试”“天书夜读(完整版)”等.非常感谢作者们的技术共享精神,同时我也鄙视那些怕人A你代码而不公开代码的人,技术不共享是不能进步的,同时就算有流氓利用的话,杀软的查杀也会进步的,相反没公开的技术被小部分人利用,后果好恐怖.

原来用Word写可以写得好漂亮的.

 

简单防止删除文件和创建文件

 

   就是HOOK IofCallDriver.....不过只是闹着完..冰刃可以直接删除.但对付RING 3的一些病毒还是可以的....文件驱动刚学一俩天,感觉难死了,很多东西,监控指定路径老做不出....所以基本把整个C盘都防止创建文件了..防止重写文件,....应该可以防止病毒感染吧....不过偶尔蓝屏..晕...接下来努力学习........菜啊

#include "ntifs.h"
typedef NTSTATUS (FASTCALL*MyIofCallDriver)(
                  IN PDEVICE_OBJECT DeviceObject,
                  IN OUT PIRP Irp);

MyIofCallDriver old_piofcalldriver;

ULONG OldCR0;

NTSTATUS Filter_IRP_MJ_CREATE(IN PIRP Irp, IN PDEVICE_OBJECT DeviceObject)
{
NTSTATUS stat;
PIO_STACK_LOCATION pStackLocation;
PFILE_OBJECT pFileObject = NULL;
PDRIVER_OBJECT pDriverObject ;
WCHAR      *pstr = NULL;
POBJECT_NAME_INFORMATION      fileNameInformation;
NTSTATUS                    status;
ULONG      retSize,CreateDisposition;
UNICODE_STRING testmyProtectPath;

RtlInitUnicodeString(&testmyProtectPath,L"http://www.cnblogs.com/Safe3/admin/file://device//HarddiskVolume1");

pStackLocation=IoGetNextIrpStackLocation(Irp);

pFileObject=pStackLocation->FileObject;

pDriverObject=DeviceObject->DriverObject;

fileNameInformation = ExAllocatePool(NonPagedPool, 1024);

__try
{

    pstr = wcsrchr(pDriverObject->DriverName.Buffer, L'\\');
   
    pstr ++;

    if (_wcsnicmp(pstr, L"ntfs", 4) && _wcsnicmp(pstr, L"fastfat", 7))
    {
        goto pass;
    }


status = ObQueryNameString(pFileObject, fileNameInformation, 1024, &retSize);

if(! NT_SUCCESS(status) )
{
    DbgPrint("ObQueryNameString failed %d \n", status);
}


//wcscat(fileNameInformation->Name.Buffer,pFileObject->FileName.Buffer);
//DbgPrint("file name now is: %ws \n", fileNameInformation->Name.Buffer);

if(!_wcsnicmp(fileNameInformation->Name.Buffer, testmyProtectPath.Buffer,testmyProtectPath.Length))
{

CreateDisposition = (pStackLocation->Parameters.Create.Options>> 24) & 0x000000ff;
    if((CreateDisposition==FILE_CREATE)||(CreateDisposition==FILE_OPEN_IF )
    ||(CreateDisposition==FILE_OVERWRITE_IF))
{

Irp->IoStatus.Status = STATUS_ACCESS_DENIED;
Irp->IoStatus.Information = 0;

IoCompleteRequest(Irp, IO_NO_INCREMENT);
ExFreePool(fileNameInformation);
return STATUS_ACCESS_DENIED;
}
}

   }

__except(1)
{
    goto pass;
}


pass:
__asm
{
mov ecx,DeviceObject
mov edx,Irp
Call old_piofcalldriver
mov stat,eax
}

}


NTSTATUS FASTCALL NewpIofCallDriver(
        IN PDEVICE_OBJECT DeviceObject,
        IN OUT PIRP Irp
)
{

NTSTATUS stat;
PIO_STACK_LOCATION pStackLocation;
pStackLocation=IoGetNextIrpStackLocation(Irp);
switch(pStackLocation->MajorFunction)
{

case IRP_MJ_SET_INFORMATION: break;

case IRP_MJ_CREATE: Filter_IRP_MJ_CREATE(Irp,DeviceObject); break;

default:
{
    __asm
{
mov ecx,DeviceObject
mov edx,Irp
Call old_piofcalldriver
mov stat,eax
}
return stat;
}

}

return STATUS_SUCCESS;

}


void UnHookIofCallDriver()
{
KIRQL oldIrql;
ULONG addr = (ULONG)IofCallDriver;

oldIrql = KeRaiseIrqlToDpcLevel();
__asm
{
   mov eax,cr0
   mov OldCR0,eax
   and eax,0xffffffff
   mov cr0,eax
  
   mov eax,addr
   mov esi,[eax+2]
   mov eax,old_piofcalldriver
   mov dword ptr [esi],eax
  
   mov eax,OldCR0
   mov cr0,eax
}
KeLowerIrql(oldIrql);
return ;
}

VOID Unload(IN PDRIVER_OBJECT DriverObject)
{
   UnHookIofCallDriver();

}



void InlineHook_IofCallDriver()
{
KIRQL oldIrql;
ULONG addr = (ULONG)IofCallDriver;
__asm
{
   mov eax,addr
   mov esi,[eax+2]
   mov eax,[esi]
   mov old_piofcalldriver,eax
}
oldIrql = KeRaiseIrqlToDpcLevel();

__asm
{
   mov eax,cr0
   mov OldCR0,eax
   and eax,0xffffffff
   mov cr0,eax
  
   mov eax,addr
   mov esi,[eax+2]
   mov dword ptr [esi],offset NewpIofCallDriver
  
   mov eax,OldCR0
   mov cr0,eax
}
KeLowerIrql(oldIrql);
return ;
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING RegistryPath)
{

     DriverObject->DriverUnload=Unload;
     InlineHook_IofCallDriver();
     return STATUS_SUCCESS;
}

 

转载于:https://www.cnblogs.com/Safe3/archive/2009/06/24/1510120.html

weixin_30411997
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Hook与IoCallDriver与IofCallDriver
fengkuangfj的专栏
03-08 3385
用途之一：从内核层保护文件不被删除 IoCallDriver：一个内核例程，过滤所有的系统请求 NTSTATUS IoCallDriver(IN PDEVICE_OBJECT DeviceObject, IN OUT PIRP Irp ); IofCallDriver：在IoCallDriver中调用的一个例程，几乎所有的内核驱动都调用了IofCallDr
rootkit技术之IoCallDriver介绍
软件调试的变革
12-03 3213
IoCallDriver是一个非常重要的内核例程，利用它可以过滤所有的系统请求，在IoCallDriver中调用IofCallDriver例程，几乎所有的内核驱动都调用了IofCallDriver。IoCallDriver的原型如下： NTSTATUS    IoCallDriver(     IN PDEVICE_OBJECT  DeviceObject,     IN OUT PIRP
天书上的练习-inlinehook IoCallDriver函数
爱杀之爪的矩阵
04-03 692
//把IofCallDriver开头指令拷贝下来，移到我们自己地中继函数中//把IofCallDriver开头写入跳转指令跳转到我的中继函数//中继函数中执行对我自己的IofCallDriver钩子函数的调用//中继函数中执行原来的IofCallDriver函数中拷贝过来的几条指令//跳转回到原来的IofCallDriver后开始的跳转点继续执行//#include "xde.h"#inclu
inline hook IofCallDriver 调用ntfs时保护文件访问
125096
09-05 659
#include #include NTSTATUS DriverUnload(IN PDRIVER_OBJECT DriverObject); int IsNeedProtect(DEVICE_OBJECT *DeviceObject, PIRP Irp); ULONG GetFunctionAddr(IN PCWSTR FunctionName); VOID InlineHook();
Inline Hook IofCallDriver 截获所有IRP
04-02 1506
前段时间搞了一些Inline HOOK API的demo,例如对NtQueryDirectoryFile Inline HOOK 进行文件的隐藏,(恰好NtQueryDirectoryFile 在SSDT有导出,也可以采用改SSDT来实现HOOK.,只不过Inline HOOK 隐蔽性好点).而NtQueryDirectoryFile是调用IofCallDriver的(我猜的),那么HOOK Io
C++Hook发包函数核心代码
09-03
C++Hook发包函数核心代码 游戏辅助专用 不得不学 杀猪的
VB 简单 HOOK 源代码
05-07
内容索引:VB源码,系统相关,HOOK,钩子　VB 简单 HOOK 源代码，只能捕获自身，这里是捕获自身的鼠标坐标，编译运行后，你会在VB IDE环境下的“立即”窗口看到你移动鼠标的坐标位置信息，适时跟随你的移动而变化，作为...
Delphi Hook类代码收集
01-14
以下是一些关于"Delphi Hook类代码收集"中的核心知识点： 1. **Hook概念**：Hook是一种机制，它允许程序在其他程序执行特定操作之前或之后插入自己的代码。在Windows环境下，这通常是通过安装钩子（SetWindowsHook/...
微信hook源代码
06-25
2.4版本微信hook源代码
IATHook的代码 unorder-map管理
03-27
在这个场景中，"IATHook的代码 unorder-map管理"指的是在IATHook的实现中使用了C++标准库中的`std::unordered_map`容器来管理钩子。`std::unordered_map`是一个哈希表，提供快速的查找、插入和删除操作，是管理大量...
IoCallDriver()简析
pureman_mega的博客
03-27 1621
NTSTATUS IofCallDriver(IN PDEVICE_OBJECT DeviceObject, IN OUT PIRP Irp) { if(*pIofCallDriver)//je 0x1d { return pIofCallDriver(DeviceObject,Irp); } Irp->Cu
突破icesword实现文件隐藏
08-14 757
估计想在icesword下隐藏文件的人有很多吧。今天我介绍一种方法。  先介绍一下icesword是如何查找文件的。基本原理就是自己构造一个irp出来，然后直接IoCallDriver发送到fsd。但是icesword做了更多的工作。它直接读取ntfs.sys 和fastfat.sys，从pe文件格式的角度上计算出正确的fsd的dispatch routine地址，然后再call。而且iceswo
IO 重定向的Hook和对抗
zhonglunshun的专栏
04-24 339
对于设备指纹来说，系统文件是用来标识设备比较稳定的特征码，特别是对于改设备机型，一般来说，一些关键文件信息可用来标识一台设备。典型的如mac地址文件，序列号文件，还有一些用来标识某个特定机型的，比如小米在framework下就有一些文件的文件大小，md5等信息可拿来和标准机型库比对，已识别设备是否被模拟。攻击方自然也知道这个道理，因此也会修改这些文件，对于非源码定制系统来说，这些文件只能通过hook来修改。在比较早的时期，直接通过hook java代码的类的open方法达到效果，
8种HOOK技术
liuhaidon1992的博客
01-07 5384
1.IAT_HOOK IAT是程序中存储导入函数地址的数据结构，如果HOOK了导入函数地址。就可以在函数调用的时候，将函数流程HOOK到我们指定的流程。但是我个人觉得这种方式最好要结合DLL注入的方式，如果单纯的使用HOOK，那么就需要将需要执行的操作的shellcode写入目标进程，如果操作复杂，可能需要的shellcode量特别大，所以我们需要借助DLL注入，这样就将我们需要执行的代码写入...
Hook ：Inline Hook学习资料以及总结问题
it技术学习
04-03 1008
1、简介          INLINE HOOK原理：         Inline Hook通过硬编码的方式向内核API的内存空间（通常是开始的一段字节，且一般在第一个call之前，这么做是为了防止堆栈混乱）写入跳转语句，这样，该API只要被调用，程序就会跳转到我们的函数中来，我们在自己写的函数里需要完成3个任务：          1）重新调整当前堆栈。程序流程在刚刚跳转的时候
frida hook aes代码
最新发布
06-07
以下是使用Frida hook AES加密函数的JavaScript代码示例： ```javascript Java.perform(function() { // 找到目标函数 var aesEncryptFunc = Module.findExportByName("libcrypto.so", "AES_encrypt"); // ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值