使用MDL读写内存的SSDT HOOK

最新推荐文章于 2023-11-16 08:55:03 发布
最新推荐文章于 2023-11-16 08:55:03 发布
阅读量2.3k 收藏 7
点赞数 1
分类专栏： 驱动开发 windows 内核
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/youyou519/article/details/90699795
版权
windows 同时被 3 个专栏收录
105 篇文章 15 订阅
订阅专栏
内核
85 篇文章 6 订阅
订阅专栏
驱动开发
83 篇文章 10 订阅
订阅专栏

X64下有patchguard，所以先讨论x86的

思路

首先找到函数地址，如果是导出函数，可以使用MmGetSystemRoutineAddress，如果未导出加载符号通过特征码

实现新新函数替换原函数

恢复函数

关于系统从应用层进入内核，xp前是int2e，之后32位是sysenter，64是syscall

https://bbs.pediy.com/thread-226254.htm

 

Ntdll封装了API的调用函数，Kernel32.dll中的API通过Ntdll.dll时完成参数的检查再调用一个中断，int2e，sysenter，syscall进入内核，服务号放在eax，栈放在eDx中（我记不请回头看下），根据存放在 EAX 中的索引值来在 SSDT 数组中调用指定的服务即Nt*系列函数

Zw*和NT*

在ntdll.dll这两函数完全一样，进入内核Ntosknl后一个做参数校验，一个不管，ssdt表放的是NT*,zw*是对Nt封装，zw是内核使用的函数，应用层直接去NT，Zw*会把Kthread中PreviousMode设置为KernelMode，再调用Nt*，所以不会参数检查。内核如果直接调用NT*，这里是userMode。

SSDTHOOK思路

第一行代码一般是索引号给eax（x64不在第一条，需要反汇编后定位指令），所以可以定位这个操作码，比如（mov eax,012h,eaxy一个字节，012h四个字节）。所以函数地址+1，就是下标，转换公式

索引号=*（DWORD*）（（usigned char *）fun+1）

或者解析PE文件，找出导出表里这个函数下标。

x86下ssdt表存放的函数的绝对地址：

funaddr=KeSer*Des*+4*index

x64下存的是函数地址和ssdt表首地址的相对偏移，并且左移了4位。

funaddr=KeSer*Des+（KeSer*Des*+4*index）>>4

#pragma pack(1)typedef struct ServiceDescriptorEntry {
    unsigned int *ServiceTableBase;
    unsigned int *ServiceCounterTableBase; 
    unsigned int NumberOfServices;
    unsigned char *ParamTableBase;} ServiceDescriptorTableEntry_t,*PServiceDescriptorTableEntry_t;#pragma pack()

导入：
__declspec(dllimport)  ServiceDescriptorTableEntry_t KeServiceDescriptorTable;
 

然后定义一个宏吧 给一个Zw的地址 返回它在SSDT对应函数的地址 
引用：    

——function是NT对应的Zw函数（zw+1就是指令地址号了）

#define SYSTEMSERVICE(_function)  KeServiceDescriptorTable.ServiceTableBase[ *(PULONG)((PUCHAR)_function+1)]    

#define SDT     SYSTEMSERVICE

使用就是SDT（ZwCreatefile）

然后找到函数地址---保存原地址--替换地址 当然函数要与原始函数一致


typedef NTSTATUS (*ZWCREATESECTION)(

  	OUT PHANDLE            		SectionHandle,

  	IN ULONG                		DesiredAccess,

  	IN POBJECT_ATTRIBUTES  	ObjectAttributes OPTIONAL,

  	IN PLARGE_INTEGER     	 MaximumSize OPTIONAL,

          IN ULONG                		PageAttributess,

  	IN ULONG                		SectionAttributes,

 	IN HANDLE              		FileHandle OPTIONAL );

 //定义函数指针保存原函数地址，用于恢复

static ZWCREATESECTION            OldZwCreateSection;

 

NTSTATUS NTAPI HOOK_NtCreateSection(PHANDLE SectionHandle,

				  ACCESS_MASK DesiredAccess,

				  POBJECT_ATTRIBUTES ObjectAttributes,

				  PLARGE_INTEGER SectionSize,

				  ULONG Protect,

				  ULONG Attributes,

				  HANDLE FileHandle) 

{

	return OldZwCreateSection(SectionHandle,

				  DesiredAccess,

				  ObjectAttributes,

				  SectionSize,

				  Protect,

				  Attributes,

				  FileHandle);

}

进行HOOK

恢复Hook

移除HOOK 这部很容易蓝屏 建议还是使用DeviceIControl进行卸载 (写一个恢复函数 然后通过下发请求调用)

如果非要卸载可以使用引用计数。

关CRO对多核无效，应该使用MDL方式修改内存。

NTSTATUS RtlSuperCopyMemory(IN VOID UNALIGNED *Dst,
    IN CONST VOID UNALIGNED *Src,
    IN ULONG Length)
{
    //MDL是一个对物理内存的描述，负责把虚拟内存映射到物理内存
    PMDL pmdl = IoAllocateMdl(Dst, Length, 0, 0, NULL);//分配mdl
    if(pmdl==NULL)
        return STATUS_UNSUCCESSFUL;

    MmBuildMdlForNonPagedPool(pmdl);//build mdl
    unsigned int *Mapped = (unsigned int *)MmMapLockedPages(pmdl, KernelMode);//锁住内存
    if(!Mapped){
        IoFreeMdl(pmdl);
        return STATUS_UNSUCCESSFUL;
    }

    KIRQL kirql = KeRaiseIrqlToDpcLevel();
    RtlCopyMemory(Mapped, Src, Length);
    KeLowerIrql(kirql);

    MmUnmapLockedPages((PVOID)Mapped,pmdl);
    IoFreeMdl(pmdl);

    return STATUS_SUCCESS;
}
//安装：
OldZwLoadDriver = SDT(ZwLoadDriver);
ULONG hookAddr = (ULONG) Hook_ZwLoadDriver;
RtlSuperCopyMemory(&SDT(ZwLoadDriver), &hookAddr, 4);    
//卸载：
ULONG oldAddr = (ULONG)OldZwLoadDriver;
RtlSuperCopyMemory(&SDT(ZwLoadDriver), &oldAddr, 4);

一个使用MDL的ssdtHOOK例子

#include <ntddk.h>
#include <ntimage.h>

#pragma pack(1)
typedef struct ServiceDescriptorEntry {
	unsigned int *ServiceTableBase;
	unsigned int *ServiceCounterTableBase; //Used only in checked build
	unsigned int NumberOfServices;
	unsigned char *ParamTableBase;
} ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;
#pragma pack()



__declspec(dllimport)  ServiceDescriptorTableEntry_t KeServiceDescriptorTable;
#define SYSTEMSERVICE(_function) KeServiceDescriptorTable.ServiceTableBase[ *(PULONG)((PUCHAR)_function+1)]
#define SDT     SYSTEMSERVICE
#define KSDT KeServiceDescriptorTable



typedef struct _DEVICE_EXTENSION
{
	PDEVICE_OBJECT DeviceObject;
	PKEVENT Event;

	BOOLEAN bPCreate;
} DEVICE_EXTENSION, *PDEVICE_EXTENSION;


//    全局设备对象
PDEVICE_OBJECT g_pDeviceObject;

UNICODE_STRING g_RegPath;

typedef NTSTATUS(*ZWCREATESECTION)(

	OUT PHANDLE            		SectionHandle,
	IN ULONG                		DesiredAccess,
	IN POBJECT_ATTRIBUTES  	ObjectAttributes OPTIONAL,
	IN PLARGE_INTEGER     	 MaximumSize OPTIONAL,
	IN ULONG                		PageAttributess,
	IN ULONG                		SectionAttributes,
	IN HANDLE              		FileHandle OPTIONAL);
//定义函数指针保存原函数地址，用于恢复

static ZWCREATESECTION            OldZwCreateSection;



NTSTATUS RtlSuperCopyMemory(IN VOID UNALIGNED *Dst,
	IN CONST VOID UNALIGNED *Src,
	IN ULONG Length)
{
	//MDL是一个对物理内存的描述，负责把虚拟内存映射到物理内存
	PMDL pmdl = IoAllocateMdl(Dst, Length, 0, 0, NULL);//分配mdl
	if (pmdl == NULL)
		return STATUS_UNSUCCESSFUL;

	MmBuildMdlForNonPagedPool(pmdl);//build mdl
	unsigned int *Mapped = (unsigned int *)MmMapLockedPages(pmdl, KernelMode);//锁住内存
	if (!Mapped) {
		IoFreeMdl(pmdl);
		return STATUS_UNSUCCESSFUL;
	}

	KIRQL kirql = KeRaiseIrqlToDpcLevel();
	RtlCopyMemory(Mapped, Src, Length);
	KeLowerIrql(kirql);

	MmUnmapLockedPages((PVOID)Mapped, pmdl);
	IoFreeMdl(pmdl);

	return STATUS_SUCCESS;
}



NTSTATUS NTAPI HOOK_NtCreateSection(PHANDLE SectionHandle,

	ACCESS_MASK DesiredAccess,
	POBJECT_ATTRIBUTES ObjectAttributes,
	PLARGE_INTEGER SectionSize,
	ULONG Protect,
	ULONG Attributes,
	HANDLE FileHandle)
{

	return OldZwCreateSection(SectionHandle,
		DesiredAccess,
		ObjectAttributes,
		SectionSize,
		Protect,
		Attributes,
		FileHandle);

}


void StartHook(void)

{

	//获取未导出的服务函数索引号

	OldZwCreateSection = SDT(ZwCreateSection);
	ULONG hookAddr = (ULONG)HOOK_NtCreateSection;
	RtlSuperCopyMemory(&SDT(ZwCreateSection), &hookAddr, 4);



	return;

}




void RemoveHook(void)
{
	ULONG oldAddr = (ULONG)OldZwCreateSection;
	RtlSuperCopyMemory(&SDT(ZwCreateSection), &oldAddr, 4);
	return;
}




void UnloadDriver(IN PDRIVER_OBJECT DriverObject)
{
	UNICODE_STRING  uszDeviceString;
	NTSTATUS        ntStatus;


	//移除挂接
	RemoveHook();

	IoDeleteDevice(DriverObject->DeviceObject);

	RtlInitUnicodeString(&uszDeviceString, L"\\DosDevices\\ITSys");
	IoDeleteSymbolicLink(&uszDeviceString);

}

NTSTATUS DispatchIoCtrl(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{

	NTSTATUS              ntStatus = STATUS_UNSUCCESSFUL;
	PIO_STACK_LOCATION    irpStack = IoGetCurrentIrpStackLocation(Irp);
	PDEVICE_EXTENSION    extension = DeviceObject->DeviceExtension;

	switch (irpStack->Parameters.DeviceIoControl.IoControlCode)
	{
	default:
		break;
	}

	Irp->IoStatus.Status = ntStatus;

	// 设置返回给用户层程序的数据的字节数
	if (ntStatus == STATUS_SUCCESS)
		Irp->IoStatus.Information = irpStack->Parameters.DeviceIoControl.OutputBufferLength;
	else
		Irp->IoStatus.Information = 0;

	IoCompleteRequest(Irp, IO_NO_INCREMENT);
	return ntStatus;
}



NTSTATUS DispatchCreate(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;

	IoCompleteRequest(Irp, IO_NO_INCREMENT);
	return STATUS_SUCCESS;
}


NTSTATUS DispatchClose(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
	NTSTATUS rc;

	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;

	rc = Irp->IoStatus.Status;
	IoCompleteRequest(Irp, IO_NO_INCREMENT);
	return rc;
}




NTSTATUS DriverEntry(
	IN PDRIVER_OBJECT DriverObject,
	IN PUNICODE_STRING RegistryPath
)
{
	NTSTATUS        ntStatus;
	UNICODE_STRING  uszDriverString;
	UNICODE_STRING  uszDeviceString;
	UNICODE_STRING  uszEventString;

	PDEVICE_OBJECT    pDeviceObject;
	PDEVICE_EXTENSION extension;
	// 初始化设备对象名
	RtlInitUnicodeString(&uszDriverString, L"\\Device\\ITSys");
	// 创建并初始化对象
	ntStatus = IoCreateDevice(
		DriverObject,
		sizeof(DEVICE_EXTENSION),
		&uszDriverString,
		FILE_DEVICE_UNKNOWN,
		0,
		FALSE,
		&pDeviceObject
	);
	if (ntStatus != STATUS_SUCCESS)
		return ntStatus;
	extension = pDeviceObject->DeviceExtension;
	RtlInitUnicodeString(&uszDeviceString, L"\\DosDevices\\ITSys");
	// 创建用户可见连接名称
	ntStatus = IoCreateSymbolicLink(&uszDeviceString, &uszDriverString);
	if (ntStatus != STATUS_SUCCESS)
	{
		// 创建失败，删除对象并返回错误值
		IoDeleteDevice(pDeviceObject);
		return ntStatus;
	}
	// 赋值全局设备对象指针

	// Assign global pointer to the device object for use by the callback functions
	g_pDeviceObject = pDeviceObject;
	// 设置所有可用的DeviceIoControl的处理IRP的函数

	DriverObject->DriverUnload = UnloadDriver;
	DriverObject->MajorFunction[IRP_MJ_CREATE] = DispatchCreate;
	DriverObject->MajorFunction[IRP_MJ_CLOSE] = DispatchClose;
	DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = DispatchIoCtrl;

#if DBG
	KdPrint(("RegistryPath : %ws\n", RegistryPath->Buffer));
#endif

	//SDT挂接
	StartHook();

	return ntStatus;
}

使用结果图

kernweak
关注
专栏目录
SSDTHook实现解析(x86)
KOOKNUT的博客
02-18 417
在说到SSDTHook实现之前，我们首先来了解一下Win32API的调用过程，我们以ReadFile()为例，来看看从Ring3层到Ring0层的调用过程： 在一个Ring3进程Test.exe中调用ReadFile()函数，此时我们调用的是kernel32.dll中的导出函数，接下来ReadFile()会调用到位于ntdll.dll中的NtReadFile()或者ZwReadFile()，在nt...
SSDT Hook底层原理介绍以及如何实现进程保护
linuxguitu的博客
12-03 969
目录 SSDT Hook效果图 SSDT简介 SSDT结构 SSDT HOOK原理 Hook前准备 如何获得SSDT中函数的地址呢 SSDT Hook流程 SSDT Hook实现进程保护 SSDT Hook效果图 加载驱动并成功Hook NtTerminateProcess函数： 当对 指定的进程进行保护后，尝试使用“任务管理器”结束进程的时候，会弹出“拒绝访问”的窗口，说明，我们的目的已经达到： SSDT简介 SSDT 的全称是 System Services Descr.
基于VT技术的HOOK流程图
吾无法无天的博客
03-27 5057
基于VT技术,无视PatchGuard MSR HOOK: EPT HOOK: Win10 1809测试:
MDL绕过SSDT内存保护
05-06
在写驱动保护进程时，通过修改SSDT是一个很有效的方法，但是系统对SSDT都是只读的，不能写。如果试图去写，肯定会很现实的给你蓝脸，当然这种保护很容易被绕过，其中一种就是MDL 绕过
驱动使用 MDL 方式读写内存
LYSM
06-24 6816
背景 通常，我们在内核中修改内存的时候，都是通过修改 CR0 寄存器，关闭内存写保护属性，然后再写入内存的方式来修改内存。我个人不喜欢这种方式，因为总感觉我们使用没有线程接口函数的方法，总感觉不太稳定，而且，在 64 位程序下，CR0 方式不再适用了。 所以，我强烈推荐在内核下使用 MDL 方式来修改内存，在 32 位内核和 64 位内核下同样有效。 实现过程 内存描述符列表 (MDL) 是一个系统定义的结构，通过一系列物理地址描述缓冲区。MDL的全称是 Memory Descriptor List，即内存
驱动开发：内核MDL读写进程内存
热门推荐
CSDN
10-14 2万+
MDL内存读写是最常用的一种读写模式，通常需要附加到指定进程空间内然后调用内存拷贝得到对端内存中的数据，在调用结束后再将其空间释放掉，通过这种方式实现内存读写操作，此种模式的读写操作也是最推荐使用的相比于CR3切换来说，此方式更稳定并不会受寄存器的影响。写入时与读取类似，只是多了锁定页面和解锁操作。
SSDT—Hook和MDL
kernweak的博客
09-03 1567
SSDT HOOK 首先要明白SSDTHOOK就是自己再写一份函数，替换了SSDT表中的地址替换掉 如何访问系统服务表呢？ SSDT 的全称是 System Services Descriptor Table，系统服务描述符表 下面这个是个全局变量 kd&amp;gt; dd KeServiceDescriptorTable(SSDT) 这个导出的 声明一下就可以使用了 kd&amp;g...
内存READWRITE_读写驱动_读写_驱动_驱动读写_驱动内存
09-10
在实际应用中，内存读写驱动也常常与内存管理单元（MMU）、I/O子系统、中断处理等紧密关联。例如，在多核系统中，内存一致性模型（如MESI协议）需要驱动程序配合硬件来维护数据的一致性。 总的来说，内存READWRITE...
SSDT Hook实现内核级的进程保护
曾是土木人
06-29 8312
SSDT Hook效果图 加载驱动并成功Hook  NtTerminateProcess函数： 当对 指定的进程进行保护后，尝试使用“任务管理器”结束进程的时候，会弹出“拒绝访问”的窗口，说明，我们的目的已经达到： SSDT简介 SSDT 的全称是 System Services Descriptor Table，系统服务描述符表。 这个表
MDL文件读取器
10-13
用于读取半条命mdl模型,对爱好OpenGL游戏编程的有一定的用处,可以把cs中得模型读出
钩住SSDT以及隐藏进程的代码HideProcessHookMDL
02-11
钩住SSDT以及隐藏进程的代码HideProcessHookMDL
MDL 中实际包含的内容是什么？
weixin_34347651的博客
10-12 152
MDL 中实际包含的内容是什么？ 更新日期： 2008年01月11日 内存描述符列表 (MDL) 是一个系统定义的结构，通过一系列物理地址描述缓冲区。执行直接 I/O 的驱动程序从 I/O 管理器接收一个 MDL 的指针，并通过 MDL 读写数据。一些...
3.3 Windows驱动开发：内核MDL读写进程内存
最新发布
CSDN
11-16 5063
MDL内存读写是一种通过创建MDL结构体来实现跨进程内存读写的方式。在Windows操作系统中，每个进程都有自己独立的虚拟地址空间，不同进程之间的内存空间是隔离的。因此，要在一个进程中读取或写入另一个进程的内存数据，需要先将目标进程的物理内存映射到当前进程的虚拟地址空间中，然后才能进行内存读写操作。MDL结构体是Windows内核中专门用于描述物理内存的数据结构，它包含了一系列的数据元素，包括物理地址、长度、内存映射的虚拟地址等信息。
Windows驱动开发(一) MDL驱动读写
qq_33789853的博客
03-10 2004
使用MDL驱动读写应该是最常见的读写内存方式 不多说 直接上代码 typedef struct TongL_Process { ULONG pid; //进程ID ULONG64 Address; //内存地址 ULONG64 buf; //缓冲区指针 ULONG Size; //内存大小 }TongL_PROCESS, * PTongL_PROCESS; 读： PTongL_PROCESS pInputData = (PTongL_
用MDL写入数据
liuhaidon1992的博客
01-08 609
#include <ntddk.h> BOOL MdlWriteMemory(PVOID pBaseAddress, PVOID pWriteData, SIZE_T writeDataSize) { PMDL pMdl = NULL; PVOID pNewAddress = NULL; // 创建mdl pMdl = MmCreateMdl(NULL, pBaseAdd...
更加稳定的HOOK SSDT(通过MDL方式)
10-27 4886
传说修改cr0寄存器后再写SSDT在多核CPU不稳定,因此提供一个更加稳定的写SSDT表的方式,代码如下//// 挂钩函数//BOOL HookSSDT()...{    PMDL pMdlSystemCall = NULL;    DWORD * MappedSystemCallTable = 0;       pMdlSystemCall = IoAllocateMdl(       
MDL内存映射
jimk1983的专栏
10-23 2555
http://blog.csdn.net/cosmoslife/article/details/50395985  ---初步认识MDL
读书笔记_windows下的混合钩子（HOOK）_part 4_使用MDL修改内存保护机制
wodamazi
10-15 204
MDL（Memory Descriptor List），指内存描述符表，它包含了该内存区域的起始地址、拥有者进程、字节数量以及标志。MDL结构定义在ntddk.h中，具体结构如下： Typedef struct _MDL{ Struct _MDL *Next; CSHORT Size; CSHORT MdlFlags; Struct _EPROCESS *Process; P...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值