免費論壇 繁體 | 簡體
Sclub交友聊天~加入聊天室當版主
分享
新浪微博
QQ空间
Facebook
Google+
Plurk
Twitter
Line
Board logo

标题: 多核下通过修改GDT隐藏IDT HOOK [打印本页]
作者: forwe    时间: 2013-8-30 21:20     标题: 多核下通过修改GDT隐藏IDT HOOK

Driver.h
  1. #ifdef __cplusplus
  2. extern "C"
  3. {
  4. #endif
  5. #include <ntddk.h>
  6. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath);

  8. #ifdef __cplusplus
  9. }
  10. #endif

  12. #define PAGEDCODE code_seg("PAGE")
  13. #define LOCKEDCODE code_seg()
  14. #define INITCODE code_seg("INIT")

  16. #define PAGEDDATA data_seg("PAGE")
  17. #define LOCKEDDATA data_seg()
  18. #define INITDATA data_seg("INIT")

  20. #define arraysize(p) (sizeof(p)/sizeof((p)[0]))

  22. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject);

  24. #define WORD USHORT
  25. #define DWORD ULONG
  26. #define MAKELONG(a, b) ((LONG)(((WORD)(((DWORD_PTR)(a)) & 0xffff)) | ((DWORD)((WORD)(((DWORD_PTR)(b)) & 0xffff))) << 16))

  28. #pragma pack(push)
  29. #pragma pack(1) // 1字节对齐
  30. typedef struct _IDTR //IDT基址
  31. {
  32.         USHORT IDT_limit; //范围占位
  33.         USHORT IDT_LOWbase;//基地址占位_IDT_ENTRY类型指针
  34.         USHORT IDT_HIGbase;
  35. }IDTR,*PIDTR;

  37. typedef struct _IDT_ENTRY
  38. {
  39.         USHORT LowOffset; //中断处理函数地址低位
  40.         USHORT selector; //选择符
  41.         UCHAR  reserved;
  42.         UCHAR  type:4;         //4位
  43.         UCHAR  always0:1;        //1位
  44.         UCHAR  dpl:2;                //2位
  45.         UCHAR  present:1;        //1位
  46.         USHORT HigOffset;//中断处理函数地址高位
  47. }IDTENTRY,*PIDTENTRY;//获取基址实际上是这个类型

  49. typedef struct _KGDTENTRY
  50. {
  51.         USHORT  LimitLow;
  52.         USHORT  BaseLow;
  53.         union {
  54.                 struct {
  55.                         UCHAR   BaseMid;
  56.                         UCHAR   Flags1;     // Declare as bytes to avoid alignment
  57.                         UCHAR   Flags2;     // Problems.
  58.                         UCHAR   BaseHi;
  59.                 } Bytes;
  60.                 struct {
  61.                         ULONG   BaseMid : 8;
  62.                         ULONG   Type : 5;
  63.                         ULONG   Dpl : 2;
  64.                         ULONG   Pres : 1;
  65.                         ULONG   LimitHi : 4;
  66.                         ULONG   Sys : 1;
  67.                         ULONG   Reserved_0 : 1;
  68.                         ULONG   Default_Big : 1;
  69.                         ULONG   Granularity : 1;
  70.                         ULONG   BaseHi : 8;
  71.                 } Bits;
  72.         } HighWord;
  73. } KGDTENTRY, *PKGDTENTRY;

  75. #pragma pack(pop)

  77. EXTERN_C NTKERNELAPI UCHAR * PsGetProcessImageFileName(__in PEPROCESS Process);
复制代码
Driver.cpp
  1. #include "Driver.h"

  3. //global

  5. KEVENT g_Event ;
  6. ULONG g_CurrentCpuAffinity = 0;
  7. ULONG g_OrgInterruptFunc3;
  8. ULONG g_uNewBase;
  9. USHORT g_FilterJmp[3];

  11. void PageProtectOn()
  12. {
  13.         //恢复内存保护
  14.         __asm
  15.         {
  16.                 mov eax, cr0
  17.                 or eax, 10000h
  18.                 mov cr0, eax
  19.                 sti
  20.         }
  21. }

  23. void PageProtectOff()
  24. {
  25.         //去掉内存保护
  26.         __asm
  27.         {
  28.                 cli
  29.                 mov eax, cr0
  30.                 and eax, not 10000h
  31.                 mov cr0, eax
  32.         }
  33. }


  36. void GetIdt(ULONG uCPU)
  37. {
  38.         IDTR idtr;
  39.         __asm SIDT idtr


  42.         PIDTENTRY pIdtEntry = NULL;
  43.         pIdtEntry = (PIDTENTRY)MAKELONG(idtr.IDT_LOWbase, idtr.IDT_HIGbase);

  45.         KdPrint(("pIdtEntry: %X\n", pIdtEntry));

  47.         for (ULONG uIndex = 0; uIndex <= idtr.IDT_limit / sizeof(IDTENTRY); uIndex++)
  48.         {
  49.                 KdPrint(("uCPU:%d---pIdtEntry[%d]: %X\n", uCPU, uIndex, MAKELONG(pIdtEntry[uIndex].LowOffset, pIdtEntry[uIndex].HigOffset)));
  50.         }
  51. }


  54. ULONG GetInterruptFuncAddress(ULONG InterruptIndex)
  55. {
  56.         IDTR idtr;
  57.         PIDTENTRY pIdtEntry;

  59.         __asm SIDT idtr;

  61.         pIdtEntry = (PIDTENTRY)MAKELONG(idtr.IDT_LOWbase, idtr.IDT_HIGbase);

  63.         return MAKELONG(pIdtEntry[InterruptIndex].LowOffset, pIdtEntry[InterruptIndex].HigOffset);
  64. }

  66. VOID __stdcall FilterInterruptFunc3()
  67. {
  68.         KdPrint(("CurrentProcess:%s\n", PsGetProcessImageFileName(IoGetCurrentProcess())));
  69. }

  71. __declspec(naked) void NewInterruptFun3InOrigBase()
  72. {
  73.         __asm
  74.         {
  75.                 pushad
  76.                 pushfd
  77.                 push fs

  79.                 push 0x30
  80.                 pop fs
  81.                 mov ax, 0x23
  82.                 mov ds, ax
  83.                 mov es, ax
  84.                 call FilterInterruptFunc3

  86.                 pop fs
  87.                 popfd
  88.                 popad

  90.                 jmp g_OrgInterruptFunc3
  91.         }
  92. }

  94. __declspec(naked) void NewInterruptFun3()
  95. {
  96.         __asm
  97.         {
  98.                 jmp fword ptr [g_FilterJmp]
  99.         }
  100. }

  102. void HookInterrupt(ULONG uCPU, ULONG InterruptIndex, ULONG NewInterruptFunc)
  103. {
  104.         IDTR idtr;
  105.         __asm SIDT idtr


  108.         PIDTENTRY pIdtEntry = NULL;
  109.         pIdtEntry = (PIDTENTRY)MAKELONG(idtr.IDT_LOWbase, idtr.IDT_HIGbase);

  111.         KdPrint(("uCPU:%d---pIdtEntry: %X\n", uCPU, pIdtEntry));

  113.         PageProtectOff();

  115.         pIdtEntry[InterruptIndex].LowOffset =(USHORT)((ULONG)NewInterruptFunc & 0xffff);
  116.         pIdtEntry[InterruptIndex].HigOffset = (USHORT)((ULONG)NewInterruptFunc >> 16);

  118.         PageProtectOn();
  119. }

  121. void HookInterruptFromGdt(ULONG uCPU, ULONG InterruptIndex, BOOLEAN bHook)
  122. {
  123.         IDTR idtr;

  125.         __asm SIDT idtr
  126.         PIDTENTRY pIdtEntry = NULL;
  127.         pIdtEntry = (PIDTENTRY)MAKELONG(idtr.IDT_LOWbase, idtr.IDT_HIGbase);
  128.        

  130.         ULONG uGdtAddr = 0;
  131.         __asm
  132.         {
  133.                 push edx
  134.                 SGDT [esp - 2]
  135.                 pop edx
  136.                 mov uGdtAddr, edx
  137.         }
  138.         PKGDTENTRY pGdtEntry = (PKGDTENTRY)uGdtAddr;

  140.         KdPrint(("uCPU:%d---pIdtEntry:%X---pGdtEntry:%X\n", uCPU, pIdtEntry, pGdtEntry));

  142.         PageProtectOff();

  144.         if (bHook)
  145.         {
  146.                 pIdtEntry[InterruptIndex].selector = 0xa8;
  147.                 RtlCopyMemory(&pGdtEntry[21], &pGdtEntry[1], sizeof(KGDTENTRY));
  148.                 pGdtEntry[21].BaseLow = (USHORT) (g_uNewBase & 0xffff);
  149.                 pGdtEntry[21].HighWord.Bytes.BaseMid = (UCHAR)((g_uNewBase >> 16) & 0xff);
  150.                 pGdtEntry[21].HighWord.Bytes.BaseHi = (UCHAR)(g_uNewBase >> 24);
  151.         }
  152.         else
  153.         {
  154.                 pIdtEntry[InterruptIndex].selector = 0x8;
  155.                 memset(&pGdtEntry[21], 0, sizeof(KGDTENTRY));
  156.         }

  158.         PageProtectOn();

  160. }


  163. VOID HookIdtDpc(
  164.                   IN struct _KDPC  *Dpc,
  165.                   IN PVOID  DeferredContext,
  166.                   IN PVOID  SystemArgument1,
  167.                   IN PVOID  SystemArgument2
  168.                   )
  169. {
  170.         HookInterruptFromGdt(g_CurrentCpuAffinity, (ULONG)SystemArgument1, (BOOLEAN)SystemArgument2);
  171.         KeSetEvent(&g_Event, IO_NO_INCREMENT, FALSE);
  172. }


  175. void HandleIdtByDpc(ULONG InterruptIndex, BOOLEAN bHook)
  176. {
  177.         KAFFINITY CpuAffinity;
  178.         ULONG uCpuCount = 0;
  179.         ULONG i = 0;
  180.         KDPC Dpc;

  182.         CpuAffinity = KeQueryActiveProcessors();

  184.         for (i = 0; i < sizeof(KAFFINITY); i++)
  185.         {
  186.                 if ((CpuAffinity >> i) & 1)
  187.                 {
  188.                         uCpuCount++;
  189.                 }
  190.         }

  192.         if (uCpuCount == 1)
  193.         {
  194.                 KIRQL OldIrql = KeRaiseIrqlToDpcLevel();
  195.                 HookInterruptFromGdt(0, InterruptIndex, bHook);
  196.                 KeLowerIrql(OldIrql);
  197.         }
  198.         else
  199.         {
  200.                 for (i = 0; i < sizeof(KAFFINITY); i++)
  201.                 {
  202.                         if ((CpuAffinity >> i) & 1)
  203.                         {
  204.                                 g_CurrentCpuAffinity = i;
  205.                                 KeInitializeEvent(&g_Event, NotificationEvent, FALSE);
  206.                                 KeInitializeDpc(&Dpc, HookIdtDpc, NULL);
  207.                                 KeSetTargetProcessorDpc(&Dpc, (CCHAR)i);
  208.                                 KeSetImportanceDpc(&Dpc, HighImportance);
  209.                                 KeInsertQueueDpc(&Dpc, (PVOID)InterruptIndex, (PVOID)bHook);

  211.                                 if (KeWaitForSingleObject(&g_Event, (KWAIT_REASON)0, 0, 0, 0) == STATUS_SUCCESS)
  212.                                 {
  213.                                         continue;
  214.                                 }
  215.                         }
  216.                 }
  217.         }
  218. }




  223. #pragma INITCODE
  224. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
  225. {
  226.     NTSTATUS status = STATUS_SUCCESS;

  228.         g_OrgInterruptFunc3 = GetInterruptFuncAddress(3);
  229.         g_uNewBase = (ULONG)NewInterruptFun3 - g_OrgInterruptFunc3;

  231.         *(PULONG)g_FilterJmp = (ULONG)NewInterruptFun3InOrigBase;
  232.         g_FilterJmp[2] = 0x8;

  234.         HandleIdtByDpc(3, TRUE);

  236.     DriverObject->DriverUnload = DriverUnload;
  237.     return status;
  238. }

  240. #pragma PAGEDCODE
  241. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
  242. {
  243.        
  244.         HandleIdtByDpc(3, FALSE);
  245.    
  246.         KdPrint(("DriverEntry unLoading...\n"));
  247.   
  248. }
复制代码




欢迎光临 Forwe (http://forwe.joinbbs.net/) Powered by Discuz! 7.2