菜鸟修炼开始

最新推荐文章于 2019-10-10 15:48:21 发布

weixin_33756418

最新推荐文章于 2019-10-10 15:48:21 发布

阅读量137

点赞数

文章标签：操作系统 python

原文链接：https://my.oschina.net/u/581487/blog/64321

版权

2019独角兽企业重金招聘Python工程师标准>>>

2008年第1期夜枫《内核方法实现进程保护》就已经介绍了ring3下修改SSDT表中的NativeAPI 技术，只不过实现的是进程保护，hook了不同的API函数而已，同样也是修改SSDT表的操作。冰刃（IceSword）软件，是否能对抗hook ZwSetInformationFile? 尝试PK，果真不出所料，在冰刃面前，Hook ZwSetInformationFile技术毫无作用。

战斗一： ZwSetInformationFile 是什么东西？

查DDK ： ZwSetInformationFile routine changes various kinds of information about a file object.

FileBasicInformation: Change the information that is supplied in a FILE_BASIC_INFORMATION struct.

typedef struct FILE_BASIC_INFORMATION {
    LARGE_INTEGER CreationTime;
    LARGE_INTEGER LastAccessTime;
    LARGE_INTEGER LastWriteTime;
    LARGE_INTEGER ChangeTime;
    ULONG FileAttributes;
} FILE_BASIC_INFORMATION, *PFILE_BASIC_INFORMATION;

修改文件的这些属性，说白了就是修改文件的MFT部分。在文件层做的，在底层的话，就是修改MFT扇区中的数据。

还可以修改好多，只有在用到的时候，再去查。

ZwSetInformationFile changees information about a file .If you set FileInformationClass to FileDispositionInformation,you can subsequently pass FileHandle to ZwClose but not to any other ZwXXXFile routine.Beacuase FileDispositionInformation causes the file to be marked for deletion,it is a programing error to attempt any subsequent operation on the handle other than closing it .

If you set FileInformationClass to FileEndOfFileInformation,and the EndOfFile member FILE_END_OF_FILE_INFORMATION specifies an offset beyond the current end-of-file mark, ZwSetInformationFile extends the file and pads extension with zeros.

FileDispositionInformation: sets the DeleteFile member of a FILE_DISPOSITION_INFORMATION to TRUE. so the File can be deleted when ZwClose is called to release the last open handle to the file object. The caller must have opened the file with the delete flag set in the DesiredAccess paramter.

FileEndofFileInformation: Change the current end-of-file information,supplied in a FILE_END_OF_FILE_INFORMATION structure. The operation can either truncate or extend the file .The caller must have opened the file with the FILE_WRITE_DATA flag in the DesiredAccess parameter.

DDK中的内容暂时告一段落。

战斗二：初与冰刀（iceSword）

IceSword 使用了大量新颖的内核技术，使得后门无所躲藏，使用者要有操作系统的知识。可以产看木马后门，这些系统级后门越来越强，一般都可以轻而易举的隐藏进程、端口、注册表、文件信息，一般的工具根本无法发现这些“幕后黑手”。

下载了冰刃后，并一睹它的芳容：

当打开进程的时候，可以看到所有的进程，隐藏的进程都以红色显示出来。端口也类似。

当用冰刃打开SSDT的时候，发现：

8059946E正好是SSDT的基地址，对其反汇编和用冰刃看到的函数一样。

在冰刃中还发现了其它的win32 API： NtClose 、 NTCreateFile 、NTSetInformation 、NTWriteFile 、ZwSetInformationFile、等对应API。

战斗三：基地址反汇编后的函数为：NtAcceptConnectPort. 这个例程到底什么呢？

function is used in LPC communication by server process for establish connection with client. 进程间通信（IPC）是在多任务操作系统或者联网的计算机之间运行的程序和进程所用的通信技术。有两种类型的进程间通信。本地过程调用（LPC）和远程过程调用（RPC）。处于未知的原因，微软没有公开LPC的接口。微软为机器间的客户机服务器通讯提供了一套RPC。 windows NT 优化了RPC，将其转化为LPC，只不过客户机服务器全在同一台机器上。