[转]（52）系统调用阶段测试——基于 SSDT HOOK 的 FindWindowA 监视器

 

一、项目说明

 

SSDT HOOK 内核函数我们已经会了，请看这两篇博客：

 

SSDT HOOK 实现进程保护

 

补充内容：SSDT HOOK 模板

 

此次考试和 hook NtOpenProcess 或 NtTerminateProcess 有所区别，FindWindowA 是 GDI 函数，这意味着系统调用走的是第二张系统服务表：

 

 

win32k.sys 系统服务表可能会缺页，要在驱动里访问它，做法是创建一个已经调用过GDI函数的进程（不一定是窗口程序），然后通过 DeviceIoControl 函数和驱动通信，这样执行驱动代码时所属进程已经给win32k.sys 系统服务表挂上物理页了，访问就不会蓝屏。

 

其他就和之前的项目没什么不同了，最大的坑点已经解决了。

 

oh, 还有一个注意点，我们hook的是 NtUserFindWindowEx 函数，因为 FindWindowA 在三环最终是调用这个函数的。系统调用号是 0x117A，注意，这个值当成下标用时，要把12位清零。

 

项目分为两部分，驱动部分负责 SSDT HOOK，当有函数调用，就打印一下；3环监控程序通过 DeviceIoControl 命令驱动进行 SSDT HOOK，只有这样，驱动访问 win32k.sys 系统服务表时才不会蓝屏。

 

二、项目代码

 

驱动程序

 

#include <ntddk.h>
#include <ntstatus.h>

/************************************************************************/
/* 宏定义                                                               */
/************************************************************************/

// 系统调用号
#define NTUSERFINDWINDOWEX_SERVICE (0x117A & 0x0FFF)

// 驱动通信相关
#define DEVICE_NAME L"\\Device\\HbgHookDev"
#define DRIVER_LINK L"\\??\\FindWindowAWatcherLnk"
#define OP_HOOK CTL_CODE(FILE_DEVICE_UNKNOWN,0x800,METHOD_BUFFERED,FILE_ANY_ACCESS)
#define OP_UNHOOK CTL_CODE(FILE_DEVICE_UNKNOWN,0x801,METHOD_BUFFERED,FILE_ANY_ACCESS)

/************************************************************************/
/* 类型声明                                                             */
/************************************************************************/

// 系统服务表
typedef struct _KSYSTEM_SERVICE_TABLE
{
	PULONG ServiceTableBase;			// 函数地址表
	PULONG ServiceCounterTableBase;		// SSDT 函数被调用的次数
	ULONG NumberOfService;				// 函数个数
	PULONG ParamTableBase;				// 函数参数表
} KSYSTEM_SERVICE_TABLE, *PKSYSTEM_SERVICE_TABLE;

// SSDT表
typedef struct _KSERVICE_TABLE_DESCRIPTOR
{
	KSYSTEM_SERVICE_TABLE ntoskrnl;		// 内核函数
	KSYSTEM_SERVICE_TABLE win32k;		// win32k.sys 函数
	KSYSTEM_SERVICE_TABLE unUsed1;
	KSYSTEM_SERVICE_TABLE unUsed2;
} KSERVICE_TABLE_DESCRIPTOR, *PKSERVICE_TABLE_DESCRIPTOR;

// NTOPENPROCESS
typedef NTSTATUS (*NTUSERFINDWINDOWEX) (ULONG p1,ULONG p2,ULONG lpClassName,ULONG lpWindowName,ULONG p5);


/************************************************************************/
/* 函数声明                                                             */
/************************************************************************/

VOID DriverUnload(PDRIVER_OBJECT pDriver);
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING reg_path);
VOID PageProtectOff();
VOID PageProtectOn();
VOID HookNtUserFindWindowEx();
VOID UnHookNtUserFindWindowEx();
NTSTATUS HbgNtUserFindWindowEx(ULONG p1,ULONG p2,ULONG lpClassName,ULONG lpWindowName,ULONG p5);
NTSTATUS IrpCreateProc(PDEVICE_OBJECT pDevObj, PIRP pIrp);
NTSTATUS IrpCloseProc(PDEVICE_OBJECT pDevObj, PIRP pIrp);
NTSTATUS IrpDeviceControlProc(PDEVICE_OBJECT pDevObj, PIRP pIrp);
VOID PrintCurrentProcessInfo();


/************************************************************************/
/* 全局变量                                                             */
/************************************************************************/

extern PKSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable; // ntoskrnl.exe 导出的全局变量
PKSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTableShadow;
ULONG uOldNtUserFindWindowEx; // 旧的函数地址


/************************************************************************/
/* 函数定义                                                             */
/************************************************************************/

// 驱动入口
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING reg_path)
{
	NTSTATUS status;
	ULONG uIndex = 0;
	PDEVICE_OBJECT pDeviceObj = NULL; // 设备对象指针
	UNICODE_STRING DeviceName; // 设备名，0环用
	UNICODE_STRING SymbolicLinkName; // 符号链接名，3环用
	KeServiceDescriptorTableShadow = (PKSERVICE_TABLE_DESCRIPTOR)((ULONG)KeServiceDescriptorTable - 0x40);

	// 创建设备名称
	RtlInitUnicodeString(&DeviceName,DEVICE_NAME);
	// 创建设备
	status = IoCreateDevice(pDriver,0,&DeviceName,FILE_DEVICE_UNKNOWN,FILE_DEVICE_SECURE_OPEN,FALSE,&pDeviceObj);
	if (status != STATUS_SUCCESS)
	{
		IoDeleteDevice(pDeviceObj);
		DbgPrint("创建设备失败.\n");
		return status;
	}
	//DbgPrint("创建设备成功.\n");
	// 设置交互数据的方式
	pDeviceObj->Flags |= DO_BUFFERED_IO;
	// 创建符号链接
	RtlInitUnicodeString(&SymbolicLinkName, DRIVER_LINK);
	IoCreateSymbolicLink(&SymbolicLinkName, &DeviceName);
	// 设置分发函数
	pDriver->MajorFunction[IRP_MJ_CREATE] = IrpCreateProc;
	pDriver->MajorFunction[IRP_MJ_CLOSE] = IrpCloseProc;
	pDriver->MajorFunction[IRP_MJ_DEVICE_CONTROL] = IrpDeviceControlProc;

	pDriver->DriverUnload = DriverUnload;

	return STATUS_SUCCESS;
}

// 卸载驱动
VOID DriverUnload(PDRIVER_OBJECT pDriver)
{
	UNICODE_STRING SymbolicLinkName;
	// 删除符号链接，删除设备
	RtlInitUnicodeString(&SymbolicLinkName, DRIVER_LINK);
	IoDeleteSymbolicLink(&SymbolicLinkName);
	IoDeleteDevice(pDriver->DeviceObject);
	DbgPrint("Driver unloaded.\n");
}

// 关闭页保护
VOID PageProtectOff()
{
	__asm
	{
		cli; // 关闭中断
		mov eax, cr0;
		and eax, not 0x10000; // WP位置0
		mov cr0, eax;
	}
}

// 开启页保护
VOID PageProtectOn()
{
	__asm
	{
		mov eax, cr0;
		or eax, 0x10000; // WP位置1
		mov cr0, eax;
		sti; // 恢复中断
	}
}

// HOOK NtUserFindWindowEx
VOID HookNtUserFindWindowEx()
{
	PageProtectOff();
	uOldNtUserFindWindowEx = KeServiceDescriptorTableShadow->win32k.ServiceTableBase[NTUSERFINDWINDOWEX_SERVICE];
	KeServiceDescriptorTableShadow->win32k.ServiceTableBase[NTUSERFINDWINDOWEX_SERVICE] = (ULONG)HbgNtUserFindWindowEx;
	PageProtectOn();
	DbgPrint("Hooked: %p -> %p\n", uOldNtUserFindWindowEx, KeServiceDescriptorTableShadow->win32k.ServiceTableBase[NTUSERFINDWINDOWEX_SERVICE]);
}

// UnHOOK NtUserFindWindowEx
VOID UnHookNtUserFindWindowEx()
{
	PageProtectOff();
	KeServiceDescriptorTableShadow->win32k.ServiceTableBase[NTUSERFINDWINDOWEX_SERVICE] = uOldNtUserFindWindowEx;
	PageProtectOn();
	DbgPrint("UnHooked: %p\n", KeServiceDescriptorTableShadow->win32k.ServiceTableBase[NTUSERFINDWINDOWEX_SERVICE]);
}

// 被修改的 NtUserFindWindowEx 函数，简单打印参数
NTSTATUS HbgNtUserFindWindowEx(ULONG p1,ULONG p2,ULONG lpClassName,ULONG lpWindowName,ULONG p5)
{
	DbgPrint("NtUserFindWindowEx(%x, %x, %x, %x, %x)\n", p1,p2,lpClassName,lpWindowName,p5);
	return ((NTUSERFINDWINDOWEX)uOldNtUserFindWindowEx)(p1,p2,lpClassName,lpWindowName,p5);
}

// IRP_MJ_CREATE 处理函数
NTSTATUS IrpCreateProc(PDEVICE_OBJECT pDevObj, PIRP pIrp)
{
	//DbgPrint("应用层连接设备.\n");
	// 返回状态如果不设置，Ring3返回值是失败
	pIrp->IoStatus.Status = STATUS_SUCCESS;
	pIrp->IoStatus.Information = 0;
	IoCompleteRequest(pIrp, IO_NO_INCREMENT);
	return STATUS_SUCCESS;
}

// IRP_MJ_CLOSE 处理函数
NTSTATUS IrpCloseProc(PDEVICE_OBJECT pDevObj, PIRP pIrp)
{
	//DbgPrint("应用层断开连接设备.\n");
	// 返回状态如果不设置，Ring3返回值是失败
	pIrp->IoStatus.Status = STATUS_SUCCESS;
	pIrp->IoStatus.Information = 0;
	IoCompleteRequest(pIrp, IO_NO_INCREMENT);
	return STATUS_SUCCESS;
}

// IRP_MJ_DEVICE_CONTROL 处理函数
NTSTATUS IrpDeviceControlProc(PDEVICE_OBJECT pDevObj, PIRP pIrp)
{
	NTSTATUS status = STATUS_INVALID_DEVICE_REQUEST;
	PIO_STACK_LOCATION pIrpStack;
	ULONG uIoControlCode;
	PVOID pIoBuffer;
	ULONG uInLength;
	ULONG uOutLength;

	// 获取IRP数据
	pIrpStack = IoGetCurrentIrpStackLocation(pIrp);
	// 获取控制码
	uIoControlCode = pIrpStack->Parameters.DeviceIoControl.IoControlCode;
	// 获取缓冲区地址（输入输出是同一个）
	pIoBuffer = pIrp->AssociatedIrp.SystemBuffer;
	// Ring3 发送数据的长度
	uInLength = pIrpStack->Parameters.DeviceIoControl.InputBufferLength;
	// Ring0 发送数据的长度
	uOutLength = pIrpStack->Parameters.DeviceIoControl.OutputBufferLength;

	switch (uIoControlCode)
	{
	case OP_HOOK:
		{
			HookNtUserFindWindowEx();
			//DbgPrint("HOOK成功.\n");
			//PrintCurrentProcessInfo();
			status = STATUS_SUCCESS;
			pIrp->IoStatus.Information = 0; // 返回给3环的数据量
			break;
		}
	case OP_UNHOOK:
		{
			UnHookNtUserFindWindowEx();
			//DbgPrint("UnHOOK成功.\n");
			//PrintCurrentProcessInfo();
			status = STATUS_SUCCESS;
			pIrp->IoStatus.Information = 0; // 返回给3环的数据量
			break;
		}
	}

	// 返回状态如果不设置，Ring3返回值是失败
	pIrp->IoStatus.Status = status;
	IoCompleteRequest(pIrp, IO_NO_INCREMENT);
	return STATUS_SUCCESS;
}

// 打印进程镜像名和PID
VOID PrintCurrentProcessInfo()
{
	PEPROCESS pEprocess = NULL;
	PCHAR ImageFileName;
	ULONG pid;
	__asm
	{
		mov eax, fs:[0x124];
		mov eax, [eax + 0x220];
		mov pEprocess, eax;
		mov eax, [eax + 0x84];
		mov pid, eax;
	}
	ImageFileName = (PCHAR)pEprocess + 0x174;
	DbgPrint("pid: %x, ImageFileName:%s\n",pid, ImageFileName);
}

 

3环监控程序

 

// DriverLoader.cpp : 定义控制台应用程序的入口点。
//

#include "stdafx.h"
#include <Windows.h>

#define DRIVER_NAME L"FindWindowAWatcher"
#define DRIVER_PATH L"FindWindowAWatcher.sys"
#define DRIVER_LINK L"\\\\.\\FindWindowAWatcherLnk"
#define OP_HOOK CTL_CODE(FILE_DEVICE_UNKNOWN,0x800,METHOD_BUFFERED,FILE_ANY_ACCESS)
#define OP_UNHOOK CTL_CODE(FILE_DEVICE_UNKNOWN,0x801,METHOD_BUFFERED,FILE_ANY_ACCESS)

BOOL LoadDriver(PCWSTR lpszDriverName, PCWSTR lpszDriverPath);
void UnLoadDriver(PCWSTR lpszDriverName);
BOOL Hook();
BOOL UnHook();

int _tmain(int argc, _TCHAR* argv[])
{
	HWND hwnd = FindWindowA(NULL,"notepad.exe"); // win32k.sys系统服务表挂物理页，没有这行可能会蓝屏
	LoadDriver(DRIVER_NAME, DRIVER_PATH);
	Hook();
	getchar();
	UnHook();
	UnLoadDriver(DRIVER_NAME);
	getchar();
	return 0;
}

// 加载驱动
BOOL LoadDriver(PCWSTR lpszDriverName, PCWSTR lpszDriverPath)
{
	// 获取驱动完整路径
	WCHAR szDriverFullPath[MAX_PATH] = { 0 };
	GetFullPathNameW(lpszDriverPath,MAX_PATH,szDriverFullPath,NULL);
	//printf("%s\n", szDriverFullPath);
	// 打开服务控制管理器
	SC_HANDLE hServiceMgr = NULL; // SCM管理器句柄	
	hServiceMgr = OpenSCManagerW(NULL,NULL,SC_MANAGER_ALL_ACCESS);
	if (NULL == hServiceMgr)
	{
		printf("OpenSCManagerW 失败, %d\n", GetLastError());
		return FALSE;
	}
	//printf("打开服务控制管理器成功.\n");
	// 创建驱动服务
	SC_HANDLE hServiceDDK = NULL; // NT驱动程序服务句柄
	hServiceDDK = CreateServiceW(
		hServiceMgr,
		lpszDriverName,
		lpszDriverName,
		SERVICE_ALL_ACCESS,
		SERVICE_KERNEL_DRIVER,
		SERVICE_DEMAND_START,
		SERVICE_ERROR_IGNORE,
		szDriverFullPath,
		NULL,
		NULL,
		NULL,
		NULL,
		NULL);
	if (NULL == hServiceDDK)
	{
		DWORD dwErr = GetLastError();
		if (dwErr != ERROR_IO_PENDING && dwErr != ERROR_SERVICE_EXISTS)
		{
			printf("创建驱动服务失败, %d\n", dwErr);
			return FALSE;
		}
	}
	//printf("创建驱动服务成功.\n");
	// 驱动服务已经创建，打开服务
	hServiceDDK = OpenServiceW(hServiceMgr,lpszDriverName,SERVICE_ALL_ACCESS);
	if (!StartService(hServiceDDK, NULL, NULL))
	{
		DWORD dwErr = GetLastError();
		if (dwErr != ERROR_SERVICE_ALREADY_RUNNING)
		{
			printf("运行驱动服务失败, %d\n", dwErr);
			return FALSE;
		}
	}
	//printf("运行驱动服务成功.\n");
	if (hServiceDDK)
	{
		CloseServiceHandle(hServiceDDK);
	}
	if (hServiceMgr)
	{
		CloseServiceHandle(hServiceMgr);
	}
	return TRUE;
}

// 卸载驱动
void UnLoadDriver(PCWSTR lpszDriverName)
{
	SC_HANDLE hServiceMgr = OpenSCManagerW(0,0,SC_MANAGER_ALL_ACCESS);
	SC_HANDLE hServiceDDK = OpenServiceW(hServiceMgr,lpszDriverName,SERVICE_ALL_ACCESS);
	SERVICE_STATUS SvrStatus;
	ControlService(hServiceDDK,SERVICE_CONTROL_STOP,&SvrStatus);
	DeleteService(hServiceDDK);
	if (hServiceDDK)
	{
		CloseServiceHandle(hServiceDDK);
	}
	if (hServiceMgr)
	{
		CloseServiceHandle(hServiceMgr);
	}
}

BOOL Hook()
{
	HANDLE hDevice = CreateFileW(DRIVER_LINK, GENERIC_READ|GENERIC_WRITE,0,0,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,0);
	DWORD bRet;
	if (hDevice == INVALID_HANDLE_VALUE)
	{
		printf("HOOK失败.\n");
		return FALSE;
	}
	DeviceIoControl(hDevice,OP_HOOK,NULL,0,NULL,0,&bRet,NULL);
	// 关闭设备
	CloseHandle(hDevice);
	return TRUE;
}

BOOL UnHook()
{
	HANDLE hDevice = CreateFileW(DRIVER_LINK, GENERIC_READ|GENERIC_WRITE,0,0,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,0);
	DWORD bRet;
	if (hDevice == INVALID_HANDLE_VALUE)
	{
		printf("UnHook失败.\n");
		return FALSE;
	}
	DeviceIoControl(hDevice,OP_UNHOOK,NULL,0,NULL,0,&bRet,NULL);
	// 关闭设备
	CloseHandle(hDevice);
	return TRUE;
}

 

执行结果：

 

---------------------
作者：hambaga
来源：CSDN
原文：https://blog.csdn.net/Kwansy/article/details/109510606
版权声明：本文为作者原创文章，转载请附上博文链接！
内容解析By：CSDN,CNBLOG博客文章一键转载插件