通过Hook SwapContext 获得目标线程的 IDT GDT KPCR (fs寄存器)

forwe

Driver.h

1. #ifdef __cplusplus
   
2. extern "C"
   
3. {
   
4. #endif
   
5. #include <ntddk.h>
   
6. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath);
   
7. 
   
8. #ifdef __cplusplus
   
9. }
   
10. #endif
    
11. 
    
12. #define PAGEDCODE code_seg("PAGE")
    
13. #define LOCKEDCODE code_seg()
    
14. #define INITCODE code_seg("INIT")
    
15. 
    
16. #define PAGEDDATA data_seg("PAGE")
    
17. #define LOCKEDDATA data_seg()
    
18. #define INITDATA data_seg("INIT")
    
19. 
    
20. #define arraysize(p) (sizeof(p)/sizeof((p)[0]))
    
21. 
    
22. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject);
    
23. 
    
24. EXTERN_C NTKERNELAPI VOID KiDispatchInterrupt();
    
25. 
    
26. EXTERN_C NTKERNELAPI UCHAR * PsGetProcessImageFileName(__in PEPROCESS Process);

复制代码

Driver.cpp

1. #include "Driver.h"
   
2. 
   
3. //global
   
4. ULONG g_SwapContext_hookpointer;
   
5. ULONG   g_goto_origfunc;
   
6. UCHAR g_szBackupSwapContext[5];
   
7. 
   
8. 
   
9. void PageProtectOn()
   
10. {
    
11.         //恢复内存保护
    
12.         __asm
    
13.         {
    
14.                 mov eax, cr0
    
15.                 or eax, 10000h
    
16.                 mov cr0, eax
    
17.                 sti
    
18.         }
    
19. }
    
20. 
    
21. void PageProtectOff()
    
22. {
    
23.         //去掉内存保护
    
24.         __asm
    
25.         {
    
26.                 cli
    
27.                 mov eax, cr0
    
28.                 and eax, not 10000h
    
29.                 mov cr0, eax
    
30.         }
    
31. }
    
32. 
    
33. ULONG GetSwapContextAddr()
    
34. {
    
35.         ULONG uAddr = (ULONG)KiDispatchInterrupt;
    
36. 
    
37.         PUCHAR p = (PUCHAR)uAddr;
    
38.         ULONG i = 0;
    
39.         BOOLEAN bFind = FALSE;
    
40. 
    
41.         while(i < 0x200)
    
42.         {
    
43.                 if (*p == 0xe8
    
44.                         && *(p + 5) == 0x8b
    
45.                         && *(p + 6) == 0x2c
    
46.                         && *(p - 2) == 0xb1)
    
47.                 {
    
48.                         bFind = TRUE;
    
49.                         break;
    
50.                 }
    
51.                 i++;
    
52.                 p++;
    
53.         }
    
54. 
    
55.         if (!bFind)
    
56.         {
    
57.                 KdPrint(("Find SwapContextAddr faile!\n"));
    
58.                 return 0;
    
59.         }
    
60. 
    
61.         ULONG uSwapContextAddr =  (ULONG)(*(PULONG)(p + 1) + p + 5);
    
62. 
    
63.         return uSwapContextAddr;
    
64. }
    
65. 
    
66. 
    
67. ULONG SearchHookPointer(ULONG StartAddress)
    
68. {
    
69. 
    
70.         PUCHAR p = (PUCHAR)StartAddress;
    
71.         ULONG i = 0;
    
72.         BOOLEAN bFind = FALSE;
    
73. 
    
74.         while(i < 0x200)
    
75.         {
    
76.                 if (*p == 0x89
    
77.                         && *(p + 1) == 0x43
    
78.                         && *(p + 2) == 0x18
    
79.                         && *(p + 3) == 0xfb
    
80.                         && *(p + 4) == 0x8b
    
81.                         && *(p - 1) == 0x20
    
82.                         && *(p - 2) == 0x46)
    
83.                 {
    
84.                         bFind = TRUE;
    
85.                         break;
    
86.                 }
    
87.                 i++;
    
88.                 p++;
    
89.         }
    
90. 
    
91.         if (!bFind)
    
92.         {
    
93.                 KdPrint(("Find SearchHookPointer faile!\n"));
    
94.                 return 0;
    
95.         }
    
96. 
    
97. 
    
98.         ULONG uFindAddr = (ULONG)p;
    
99. 
    
100.         return uFindAddr;
     
101.        
     
102. }
     
103. 
     
104. void FilterSwapContext(PETHREAD pTargetThread, PETHREAD pCurrentThread, PKPCR pkpcr)
     
105. {
     
106.         PEPROCESS pTargetProcess = (PEPROCESS)*(PULONG)((ULONG)pTargetThread + 0x44);
     
107.         PEPROCESS pCurrentProcess = (PEPROCESS)*(PULONG)((ULONG)pCurrentThread + 0x44);
     
108.         PUCHAR pszTarget =  PsGetProcessImageFileName(pTargetProcess);
     
109.         PUCHAR pszCurrent =  PsGetProcessImageFileName(pCurrentProcess);
     
110. 
     
111.         if (_stricmp((const char*)pszTarget, "calc.exe") == 0)
     
112.         {
     
113.                 KdPrint(("pIdtEntry:%X-----pGdt:%X\n", pkpcr->IDT, pkpcr->GDT));
     
114. 
     
115.                 KdPrint(("pszTarget:%s--pszCurrent:%s\n",pszTarget, pszCurrent));
     
116.         }
     
117. 
     
118.        
     
119. 
     
120. }
     
121. 
     
122. __declspec(naked) void NewSwapContext()
     
123. {
     
124.         __asm
     
125.         {
     
126.                 pushad
     
127.                 pushfd
     
128. 
     
129.                 push ebx
     
130.                 push edi
     
131.                 push esi
     
132.                 call FilterSwapContext
     
133. 
     
134.                 popfd
     
135.                 popad
     
136. 
     
137.                 mov [ebx + 18h], eax
     
138.                 sti
     
139.                 mov eax, [edi + 44h]
     
140. 
     
141.                 jmp g_goto_origfunc
     
142.         }
     
143. }
     
144. 
     
145. void UnHookSwapContext()
     
146. {
     
147.         KIRQL OldIrql = KeRaiseIrqlToDpcLevel();
     
148.         PageProtectOff();
     
149.         RtlCopyMemory((PVOID)g_SwapContext_hookpointer, g_szBackupSwapContext, 5);
     
150.         PageProtectOn();
     
151.         KeLowerIrql(OldIrql);
     
152. }
     
153. 
     
154. VOID HookSwapContext()
     
155. {
     
156.         ULONG uSwapContextAddr = GetSwapContextAddr();
     
157. 
     
158.         g_SwapContext_hookpointer = SearchHookPointer(uSwapContextAddr);
     
159.         g_goto_origfunc = g_SwapContext_hookpointer + 7;
     
160. 
     
161.         ULONG   utemp;
     
162.         UCHAR   jmp_code[5];
     
163. 
     
164.         jmp_code[0] = 0xE9;
     
165. 
     
166.         utemp = (ULONG)NewSwapContext - g_SwapContext_hookpointer - 5;
     
167. 
     
168.         *(ULONG*)&jmp_code[1] = utemp;
     
169. 
     
170.         PageProtectOff();
     
171.        
     
172.         RtlCopyMemory(g_szBackupSwapContext, (PVOID)g_SwapContext_hookpointer, 5);
     
173. 
     
174.         RtlCopyMemory((PVOID)g_SwapContext_hookpointer, jmp_code, 5);
     
175.        
     
176.         PageProtectOn();
     
177. 
     
178. }
     
179. 
     
180. #pragma INITCODE
     
181. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
     
182. {
     
183.     NTSTATUS status = STATUS_SUCCESS;
     
184. 
     
185.         HookSwapContext();
     
186. 
     
187.     DriverObject->DriverUnload = DriverUnload;
     
188.     return status;
     
189. }
     
190. 
     
191. #pragma PAGEDCODE
     
192. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
     
193. {
     
194.   
     
195.         UnHookSwapContext();
     
196.     KdPrint(("DriverEntry unLoading...\n"));
     
197.   
     
198. }

复制代码