简单挂钩NtCreateThread实现内核注入DLL

forwe

LoadShell.Asm

1. .686p
   
2. .model flat,StdCall
   
3. option casemap:none
   
4. 
   
5. .code
   
6. CODE_START:
   
7. dwEntry dd 0
   
8. start:
   
9.         push edx
   
10.         pushad
    
11.         pushfd
    
12.         call CODE_ADDR
    
13. CODE_ADDR:
    
14.         pop ebx
    
15.         sub ebx, CODE_ADDR
    
16.         call GetKernel32Base
    
17.         lea edx, [ebx + szLoadLibrary]
    
18.         push edx
    
19.         push eax
    
20.         call GetApiAddr
    
21.         lea edx, [ebx + szUser]
    
22.         push edx
    
23.         call eax
    
24.         lea edx, [ebx + szMessageBox]
    
25.         push edx
    
26.         push eax
    
27.         call GetApiAddr
    
28.         push 0
    
29.         push 0
    
30.         push 0
    
31.         push 0
    
32.         call eax
    
33.         lea edx, [ebx + dwEntry]
    
34.         mov edx, [edx]
    
35.         mov [esp + 024h], edx
    
36.         popfd
    
37.         popad
    
38.         ret
    
39.        
    
40.         szUser db 'user32.dll',0
    
41.         szLoadLibrary db 'LoadLibraryA',0
    
42.         szMessageBox db 'MessageBoxA',0
    
43.        
    
44. GetKernel32Base proc
    
45.                 assume fs:nothing
    
46.                 mov eax, [fs:30h]
    
47.                 mov eax, [eax + 0ch]
    
48.                 mov eax, [eax + 0ch]
    
49.                 mov eax, [eax]
    
50.                 mov eax, [eax]
    
51.                 mov eax, [eax + 018h]
    
52.                 ret
    
53. GetKernel32Base endp
    
54.        
    
55. GetNtdllBase proc
    
56.                 assume fs:nothing
    
57.                 mov eax, [fs:30h]
    
58.                 mov eax, [eax + 0ch]
    
59.                 mov eax, [eax + 0ch]
    
60.                 mov eax, [eax]
    
61.                 mov eax, [eax + 018h]
    
62.                 ret
    
63. GetNtdllBase endp
    
64.        
    
65. GetApiAddr proc hModule:DWORD, lpProcName:DWORD
    
66.                 push ebx
    
67.                 push ecx
    
68.                 push edx
    
69.                 push edi
    
70.                 push esi
    
71.                 mov eax, hModule
    
72.                 mov ebx, [eax + 3ch]
    
73.                
    
74.                 push [ebx + eax + 7ch]
    
75.                 mov ebx, [ebx + eax + 78h]
    
76.                 push ebx
    
77.                
    
78.                 add ebx, eax
    
79.                 mov edi, lpProcName
    
80.                 mov edx, [ebx + 10h]
    
81.                 test edi, 0FFFF0000h
    
82.                 jz next
    
83.                 xor eax, eax
    
84.                
    
85. _LABEL:
    
86.                         cmp eax, [ebx + 18h]
    
87.                         jae error
    
88.                        
    
89.                         push edi
    
90.                         mov esi, [ebx + 8 * 4]
    
91.                         add esi, hModule
    
92.                         mov esi, [esi + eax * 4]
    
93.                         add esi, hModule
    
94. again:
    
95.                         mov cl, byte ptr[esi]
    
96.                         mov ch, byte ptr[edi]
    
97.                         test cl, cl
    
98.                         jz cmpend
    
99.                        
    
100.                         inc esi
     
101.                         inc edi
     
102.                         cmp cl, ch
     
103.                         jz again
     
104.                         or cl, 20h
     
105.                         cmp cl, ch
     
106.                         jz again
     
107. 
     
108. cmpend:
     
109.                         inc eax
     
110.                         pop edi
     
111.                         cmp cl, ch
     
112.                         jnz _LABEL
     
113.                        
     
114.                         cmp eax, [ebx + 14h]
     
115.                        
     
116.                         mov edi, eax
     
117.                         mov eax, hModule
     
118.                         jmp go
     
119. normal:
     
120.                         jmp END_PROC
     
121. next:
     
122. go:
     
123.                         sub edi, edx
     
124.                         cmp edi, [ebx + 14h]
     
125.                         ja error
     
126.                         mov ebx, [ebx + 7 * 4]
     
127.                         add ebx, hModule
     
128.                         mov ebx, [ebx + 4 * edi]
     
129.                         add eax, ebx
     
130.                         add esp, 8
     
131.                         jmp END_PROC
     
132. error:
     
133.                         xor eax, eax
     
134. END_PROC:
     
135. 
     
136.                         pop esi
     
137.                         pop edi
     
138.                         pop edx
     
139.                         pop ecx
     
140.                         pop ebx
     
141.                         ret                       
     
142. GetApiAddr endp
     
143. CODE_END:
     
144. GetShellInfo proc lpStart:DWORD, lpSize:DWORD
     
145.         .if lpStart == 0
     
146.                 ret
     
147.         .endif
     
148.         .if lpSize == 0
     
149.                 ret
     
150.         .endif
     
151.        
     
152.         mov eax, CODE_END
     
153.         sub eax, CODE_START
     
154.         mov ebx, lpSize
     
155.         mov [ebx], eax
     
156.         mov eax, CODE_START
     
157.         mov ebx, lpStart
     
158.         mov [ebx], eax
     
159.         ret
     
160.        
     
161. GetShellInfo endp       
     
162. end start
     
163.        

复制代码

Driver.h

1. #ifdef __cplusplus
   
2. extern "C"
   
3. {
   
4. #endif
   
5. #include <ntifs.h>
   
6. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath);
   
7. 
   
8. #ifdef __cplusplus
   
9. }
   
10. #endif
    
11. 
    
12. #define PAGEDCODE code_seg("PAGE")
    
13. #define LOCKEDCODE code_seg()
    
14. #define INITCODE code_seg("INIT")
    
15. 
    
16. #define PAGEDDATA data_seg("PAGE")
    
17. #define LOCKEDDATA data_seg()
    
18. #define INITDATA data_seg("INIT")
    
19. 
    
20. #define arraysize(p) (sizeof(p)/sizeof((p)[0]))
    
21. 
    
22. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject);
    
23. 
    
24. 
    
25. typedef struct _INITIAL_TEB {
    
26.         struct {
    
27.                 PVOID OldStackBase;
    
28.                 PVOID OldStackLimit;
    
29.         } OldInitialTeb;
    
30.         PVOID StackBase;
    
31.         PVOID StackLimit;
    
32.         PVOID StackAllocationBase;
    
33. } INITIAL_TEB, *PINITIAL_TEB;
    
34. 
    
35. NTSTATUS MyNtCreateThread(
    
36.                            __out PHANDLE ThreadHandle,
    
37.                            __in ACCESS_MASK DesiredAccess,
    
38.                            __in_opt POBJECT_ATTRIBUTES ObjectAttributes,
    
39.                            __in HANDLE ProcessHandle,
    
40.                            __out PCLIENT_ID ClientId,
    
41.                            __in PCONTEXT ThreadContext,
    
42.                            __in PINITIAL_TEB InitialTeb,
    
43.                            __in BOOLEAN CreateSuspended
    
44.                            );
    
45. 
    
46. 
    
47. typedef NTSTATUS (*pNtCreateThread)(
    
48.                                                   __out PHANDLE ThreadHandle,
    
49.                                                   __in ACCESS_MASK DesiredAccess,
    
50.                                                   __in_opt POBJECT_ATTRIBUTES ObjectAttributes,
    
51.                                                   __in HANDLE ProcessHandle,
    
52.                                                   __out PCLIENT_ID ClientId,
    
53.                                                   __in PCONTEXT ThreadContext,
    
54.                                                   __in PINITIAL_TEB InitialTeb,
    
55.                                                   __in BOOLEAN CreateSuspended
    
56.                                                   );
    
57. 
    
58. EXTERN_C NTKERNELAPI UCHAR * PsGetProcessImageFileName(
    
59.                                                   __in PEPROCESS Process
    
60.                                                   );
    
61. 
    
62. #pragma pack(1)
    
63. typedef struct ServiceDescriptorEntry {
    
64.         unsigned int *ServiceTableBase;
    
65.         unsigned int *ServiceCounterTableBase; //仅适用于checked build版本
    
66.         unsigned int NumberOfServices;
    
67.         unsigned char *ParamTableBase;
    
68. } ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;
    
69. #pragma pack()
    
70. 
    
71. extern "C" PServiceDescriptorTableEntry_t KeServiceDescriptorTable;
    
72. 
    
73. ULONG GetSDDTAddr(ULONG uIndex);
    
74. BOOLEAN HookSSDT(ULONG uIndex, ULONG uNewAddr);
    
75. BOOLEAN UnHookSSDT(ULONG uIndex, ULONG uOldAddr);

复制代码

Driver.cpp

1. #include "Driver.h"
   
2. 
   
3. 
   
4. //global
   
5. pNtCreateThread g_pfnRealNtCreateThread = NULL;
   
6. BOOLEAN g_bHookDll = FALSE;
   
7. 
   
8. 
   
9. 
   
10. void PageProtectOn()
    
11. {
    
12.         //恢复内存保护
    
13.         __asm
    
14.         {
    
15.                 mov eax, cr0
    
16.                 or eax, 10000h
    
17.                 mov cr0, eax
    
18.                 sti
    
19.         }
    
20. }
    
21. 
    
22. void PageProtectOff()
    
23. {
    
24.         //去掉内存保护
    
25.         __asm
    
26.         {
    
27.                 cli
    
28.                 mov eax, cr0
    
29.                 and eax, not 10000h
    
30.                 mov cr0, eax
    
31.         }
    
32. }
    
33. 
    
34. 
    
35. BOOLEAN MyNtWriteProcessMemory(PVOID BaseAddress, PVOID Buffer ,ULONG uBufferSize, HANDLE hProcess)
    
36. {
    
37.         PEPROCESS Eprocess = NULL;
    
38.         NTSTATUS status = ObReferenceObjectByHandle(hProcess, PROCESS_ALL_ACCESS, NULL, KernelMode, (PVOID *)&Eprocess, NULL);
    
39.         if (!NT_SUCCESS(status))
    
40.         {
    
41.                 return FALSE;
    
42.         }
    
43. 
    
44.         KAPC_STATE ApcState;
    
45.         KeStackAttachProcess(Eprocess, &ApcState);
    
46. 
    
47.         __try
    
48.         {
    
49.                 ProbeForWrite(BaseAddress, uBufferSize, sizeof(UCHAR));
    
50.                 RtlCopyMemory(BaseAddress, Buffer, uBufferSize);
    
51.                 KeUnstackDetachProcess(&ApcState);
    
52.         }
    
53.         __except(EXCEPTION_EXECUTE_HANDLER)
    
54.         {
    
55.                 KeUnstackDetachProcess(&ApcState);
    
56.                 return FALSE;
    
57.         }
    
58.         return TRUE;
    
59. }
    
60. 
    
61. 
    
62. 
    
63. EXTERN_C VOID GetShellInfo(PULONG puStartAddr, PULONG puSize);
    
64. 
    
65. NTSTATUS MyNtCreateThread(
    
66.                                                   __out PHANDLE ThreadHandle,
    
67.                                                   __in ACCESS_MASK DesiredAccess,
    
68.                                                   __in_opt POBJECT_ATTRIBUTES ObjectAttributes,
    
69.                                                   __in HANDLE ProcessHandle,
    
70.                                                   __out PCLIENT_ID ClientId,
    
71.                                                   __in PCONTEXT ThreadContext,
    
72.                                                   __in PINITIAL_TEB InitialTeb,
    
73.                                                   __in BOOLEAN CreateSuspended
    
74.                                                   )
    
75. {
    
76. 
    
77.         if (!g_bHookDll)
    
78.         {
    
79.                 PUCHAR pszName = PsGetProcessImageFileName(IoGetCurrentProcess());
    
80.                 if (_stricmp((char *)pszName, "calc.exe") == 0)
    
81.                 {
    
82.                         ULONG uShellStart = 0;
    
83.                         ULONG uShellSize = 0;
    
84.                         GetShellInfo(&uShellStart, &uShellSize);
    
85.                         if (uShellStart == 0 || uShellSize == 0)
    
86.                         {
    
87.                                 goto GOON;
    
88.                         }
    
89. 
    
90.                         PVOID puShellCodeVa;
    
91.                         puShellCodeVa = NULL;
    
92.                         ULONG uShellCodeSize = uShellSize;
    
93.                         NTSTATUS status = ZwAllocateVirtualMemory(ProcessHandle, &puShellCodeVa, NULL, &uShellCodeSize, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    
94.                         if (!NT_SUCCESS(status))
    
95.                         {
    
96.                                 goto GOON;
    
97.                         }
    
98.                         ULONG uEntryEip = ThreadContext->Eax;
    
99.                         BOOLEAN bRet = FALSE;
    
100.                         bRet = MyNtWriteProcessMemory(puShellCodeVa, &uEntryEip, sizeof(ULONG), ProcessHandle);
     
101.                         if (!bRet)
     
102.                         {
     
103.                                 goto GOON;
     
104.                         }
     
105.                         bRet = MyNtWriteProcessMemory((PVOID)((ULONG)puShellCodeVa + sizeof(ULONG)), (PVOID)(uShellStart + sizeof(ULONG)), uShellSize, ProcessHandle);
     
106.                         if (!bRet)
     
107.                         {
     
108.                                 goto GOON;
     
109.                         }
     
110.                        
     
111.                         ThreadContext->Eax = ((ULONG)puShellCodeVa + sizeof(ULONG));
     
112. 
     
113.                         g_bHookDll = TRUE;
     
114.                 }
     
115.         }
     
116.                
     
117. GOON:
     
118.         return g_pfnRealNtCreateThread(ThreadHandle,
     
119.                 DesiredAccess,
     
120.                 ObjectAttributes,
     
121.                 ProcessHandle,
     
122.                 ClientId,
     
123.                 ThreadContext,
     
124.                 InitialTeb,
     
125.                 CreateSuspended);
     
126. }
     
127. 
     
128. #pragma PAGEDCODE
     
129. ULONG GetSDDTAddr(ULONG uIndex)
     
130. {
     
131. 
     
132.         ULONG uAddr = (ULONG)KeServiceDescriptorTable->ServiceTableBase[uIndex];
     
133. 
     
134.         return uAddr;
     
135. }
     
136. 
     
137. 
     
138. BOOLEAN HookSSDT(ULONG uIndex, ULONG uNewAddr)
     
139. {
     
140.         if (uNewAddr == 0)
     
141.         {
     
142.                 return FALSE;
     
143.         }
     
144. 
     
145.         PageProtectOff();
     
146.         KeServiceDescriptorTable->ServiceTableBase[uIndex] = uNewAddr;
     
147.         PageProtectOn();
     
148. 
     
149.         return TRUE;
     
150. }
     
151. 
     
152. 
     
153. BOOLEAN UnHookSSDT(ULONG uIndex, ULONG uOldAddr)
     
154. {
     
155.         if (uOldAddr == 0)
     
156.         {
     
157.                 return FALSE;
     
158.         }
     
159. 
     
160.         PageProtectOff();
     
161.         KeServiceDescriptorTable->ServiceTableBase[uIndex] = uOldAddr;
     
162.         PageProtectOn();
     
163. 
     
164.         return TRUE;
     
165. }
     
166. 
     
167. 
     
168. #pragma INITCODE
     
169. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
     
170. {
     
171.     NTSTATUS status = STATUS_SUCCESS;
     
172.        
     
173.         ULONG uAddr = GetSDDTAddr(53);
     
174.         if (uAddr)
     
175.         {
     
176.                 g_pfnRealNtCreateThread = (pNtCreateThread)uAddr;
     
177.                 HookSSDT(53, (ULONG)MyNtCreateThread);
     
178.         }
     
179. 
     
180. 
     
181.     DriverObject->DriverUnload = DriverUnload;
     
182.     return status;
     
183. }
     
184. 
     
185. #pragma PAGEDCODE
     
186. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
     
187. {
     
188.   
     
189.         UnHookSSDT(53, (ULONG)g_pfnRealNtCreateThread);
     
190.     KdPrint(("DriverEntry unLoading...\n"));
     
191.   
     
192. }

复制代码