恢复hp的object hook

forwe

模拟HP的object hook 保护 :

driver.h

1. #ifdef __cplusplus
   
2. extern "C"
   
3. {
   
4. #endif
   
5. #include <ntddk.h>
   
6. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath);
   
7. 
   
8. #ifdef __cplusplus
   
9. }
   
10. #endif
    
11. 
    
12. #define PAGEDCODE code_seg("PAGE")
    
13. #define LOCKEDCODE code_seg()
    
14. #define INITCODE code_seg("INIT")
    
15. 
    
16. #define PAGEDDATA data_seg("PAGE")
    
17. #define LOCKEDDATA data_seg()
    
18. #define INITDATA data_seg("INIT")
    
19. 
    
20. #define arraysize(p) (sizeof(p)/sizeof((p)[0]))
    
21. 
    
22. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject);
    
23. 
    
24. typedef NTSTATUS (*OB_SECURITY_METHOD)(
    
25.     IN PVOID Object,
    
26.     IN SECURITY_OPERATION_CODE OperationCode,
    
27.     IN PSECURITY_INFORMATION SecurityInformation,
    
28.     IN OUT PSECURITY_DESCRIPTOR SecurityDescriptor,
    
29.     IN OUT PULONG CapturedLength,
    
30.     IN OUT PSECURITY_DESCRIPTOR *ObjectsSecurityDescriptor,
    
31.     IN POOL_TYPE PoolType,
    
32.     IN PGENERIC_MAPPING GenericMapping,
    
33.     IN PVOID unknown
    
34.     );
    
35. 
    
36. EXTERN_C NTKERNELAPI UCHAR * PsGetProcessImageFileName(__in PEPROCESS Process);

复制代码

driver.cpp

1. #include "Driver.h"
   
2. 
   
3. OB_SECURITY_METHOD g_pfnSecurityProcedure;
   
4. 
   
5. 
   
6. 
   
7. NTSTATUS MySecurityProcedure(
   
8.                                                          IN PVOID Object,
   
9.                                                          IN SECURITY_OPERATION_CODE OperationCode,
   
10.                                                          IN PSECURITY_INFORMATION SecurityInformation,
    
11.                                                          IN OUT PSECURITY_DESCRIPTOR SecurityDescriptor,
    
12.                                                          IN OUT PULONG CapturedLength,
    
13.                                                          IN OUT PSECURITY_DESCRIPTOR *ObjectsSecurityDescriptor,
    
14.                                                          IN POOL_TYPE PoolType,
    
15.                                                          IN PGENERIC_MAPPING GenericMapping,
    
16.                                                          IN PVOID unknown
    
17.                                                          )
    
18. {
    
19. 
    
20.        
    
21. 
    
22.         PUCHAR pTargetName = PsGetProcessImageFileName(IoGetCurrentProcess());
    
23. 
    
24.         if (strstr((const char *)pTargetName, "ollydbg") != 0)
    
25.         {
    
26.                 __asm int 3;
    
27.         }
    
28. 
    
29.         return g_pfnSecurityProcedure(
    
30.                 Object,
    
31.                 OperationCode,
    
32.                 SecurityInformation,
    
33.                 SecurityDescriptor,
    
34.                 CapturedLength,
    
35.                 ObjectsSecurityDescriptor,
    
36.                 PoolType,
    
37.                 GenericMapping,
    
38.                 unknown);
    
39. }
    
40. 
    
41. void HandleObjectHook(BOOLEAN bHook)
    
42. {
    
43. 
    
44.         PVOID pTypeInfo = (PVOID)((ULONG)*PsThreadType + 0x60);
    
45. 
    
46.         if (bHook)
    
47.         {
    
48.                 g_pfnSecurityProcedure = (OB_SECURITY_METHOD)*(PULONG)((ULONG)pTypeInfo + 0x40);
    
49.                 *(PULONG)((ULONG)pTypeInfo + 0x40) = (ULONG)MySecurityProcedure;
    
50.         }
    
51.         else
    
52.         {
    
53.                 *(PULONG)((ULONG)pTypeInfo + 0x40) = (ULONG)g_pfnSecurityProcedure;
    
54.         }
    
55. }
    
56. 
    
57. 
    
58. #pragma INITCODE
    
59. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
    
60. {
    
61.     NTSTATUS status = STATUS_SUCCESS;
    
62. 
    
63.         HandleObjectHook(TRUE);
    
64. 
    
65.     DriverObject->DriverUnload = DriverUnload;
    
66.     return status;
    
67. }
    
68. 
    
69. #pragma PAGEDCODE
    
70. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
    
71. {
    
72.   
    
73.         HandleObjectHook(FALSE);
    
74. 
    
75.     KdPrint(("DriverEntry unLoading...\n"));
    
76.   
    
77. }

复制代码

恢复hp的object hook:

Driver.h

1. #ifdef __cplusplus
   
2. extern "C"
   
3. {
   
4. #endif
   
5. #include <ntddk.h>
   
6. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath);
   
7. 
   
8. #ifdef __cplusplus
   
9. }
   
10. #endif
    
11. 
    
12. #define PAGEDCODE code_seg("PAGE")
    
13. #define LOCKEDCODE code_seg()
    
14. #define INITCODE code_seg("INIT")
    
15. 
    
16. #define PAGEDDATA data_seg("PAGE")
    
17. #define LOCKEDDATA data_seg()
    
18. #define INITDATA data_seg("INIT")
    
19. 
    
20. #define arraysize(p) (sizeof(p)/sizeof((p)[0]))
    
21. 
    
22. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject);
    
23. 
    
24. EXTERN_C NTKERNELAPI NTSTATUS ObAssignSecurity(
    
25.                                  __in PACCESS_STATE AccessState,
    
26.                                  __in_opt PSECURITY_DESCRIPTOR ParentDescriptor,
    
27.                                  __in PVOID Object,
    
28.                                  __in POBJECT_TYPE ObjectType);

复制代码

Driver.cpp

1. #include "Driver.h"
   
2. 
   
3. //global
   
4. ULONG g_uSeDefaultObjectMethod;
   
5. 
   
6. ULONG g_ObpGetObjectSecurity_hookpointer;
   
7. ULONG g_retn_ObpGetObjectSecurity;
   
8. UCHAR g_szBackupObpGetObjectSecurity[5];
   
9. 
   
10. ULONG g_ObAssignSecurity_hookpointer;
    
11. ULONG g_retn_ObAssignSecurity;
    
12. UCHAR g_szBackupObAssignSecurity[5];
    
13. 
    
14. void PageProtectOn()
    
15. {
    
16.         //恢复内存保护
    
17.         __asm
    
18.         {
    
19.                 mov eax, cr0
    
20.                 or eax, 10000h
    
21.                 mov cr0, eax
    
22.                 sti
    
23.         }
    
24. }
    
25. 
    
26. void PageProtectOff()
    
27. {
    
28.         //去掉内存保护
    
29.         __asm
    
30.         {
    
31.                 cli
    
32.                 mov eax, cr0
    
33.                 and eax, not 10000h
    
34.                 mov cr0, eax
    
35.         }
    
36. }
    
37. 
    
38. void Jmp_HookFunction(ULONG HookAddr, ULONG Source, UCHAR *Ori_Code)
    
39. {
    
40.         ULONG jmp_offset;
    
41.         UCHAR jmp_code[5] = {0xe9};
    
42. 
    
43.         KSPIN_LOCK lock;
    
44.         KIRQL irql;
    
45. 
    
46.         if (HookAddr == 0 || Source == 0)
    
47.         {
    
48.                 KdPrint(("Params error!\n"));
    
49.                 return;
    
50.         }
    
51. 
    
52.         RtlCopyMemory(Ori_Code, (PVOID)HookAddr, 5);
    
53.         jmp_offset = Source - HookAddr - 5;
    
54.         *(PULONG)&jmp_code[1] = jmp_offset;
    
55. 
    
56.         KeInitializeSpinLock(&lock);
    
57.         KeAcquireSpinLock(&lock, &irql);
    
58. 
    
59.         PageProtectOff();
    
60.         RtlCopyMemory((PVOID)HookAddr, jmp_code, 5);
    
61.         PageProtectOn();
    
62. 
    
63.         KeReleaseSpinLock(&lock, irql);
    
64. 
    
65.         return;
    
66. }
    
67. 
    
68. void Res_HookFunction(ULONG HookAddr, UCHAR *Ori_Code, ULONG Length)
    
69. {
    
70.         KSPIN_LOCK lock;
    
71.         KIRQL irql;
    
72. 
    
73.         if (HookAddr == 0 || Ori_Code == 0)
    
74.         {
    
75.                 KdPrint(("Params error!\n"));
    
76.                 return;
    
77.         }
    
78. 
    
79.         KeInitializeSpinLock(&lock);
    
80.         KeAcquireSpinLock(&lock, &irql);
    
81. 
    
82.         PageProtectOff();
    
83.         RtlCopyMemory((PVOID)HookAddr, Ori_Code, Length);
    
84.         PageProtectOn();
    
85. 
    
86.         KeReleaseSpinLock(&lock, irql);
    
87. 
    
88.         return;
    
89. }
    
90. 
    
91. ULONG GetObpGetObjectSecurityAddr()
    
92. {
    
93.         ULONG uAddr = (ULONG)ObGetObjectSecurity;
    
94. 
    
95.         PUCHAR p = (PUCHAR)uAddr;
    
96.         ULONG i = 0;
    
97.         BOOLEAN bFind = FALSE;
    
98. 
    
99.         while(i < 0x50)
    
100.         {
     
101.                 if (*p == 0xe8
     
102.                         && *(p + 5) == 0x5d
     
103.                         && *(p + 6) == 0xc2
     
104.                         && *(p + 7) == 0x0c
     
105.                         && *(p - 3) == 0xff
     
106.                         && *(p - 2) == 0x75)
     
107.                 {
     
108.                         bFind = TRUE;
     
109.                         break;
     
110.                 }
     
111.                 i++;
     
112.                 p++;
     
113.         }
     
114. 
     
115.         if (!bFind)
     
116.         {
     
117.                 KdPrint(("Find GetObpGetObjectSecurityAddr faile!\n"));
     
118.                 return 0;
     
119.         }
     
120. 
     
121. 
     
122.         ULONG uFindAddr = (ULONG)( *(PULONG)(p + 1) + p + 5);
     
123. 
     
124.         return uFindAddr;
     
125. 
     
126. }
     
127. 
     
128. 
     
129. 
     
130. ULONG SearchObpGetObjectSecurityHookPointer(ULONG StartAddress)
     
131. {
     
132. 
     
133.         PUCHAR p = (PUCHAR)StartAddress;
     
134.         ULONG i = 0;
     
135.         BOOLEAN bFind = FALSE;
     
136. 
     
137.         while(i < 0x200)
     
138.         {
     
139.                 if (*p == 0x81
     
140.                         && *(p + 1) == 0xbe
     
141.                         && *(p + 2) == 0xa0
     
142.                         && *(p - 1) == 0xfc
     
143.                         && *(p - 2) == 0x4d)
     
144.                 {
     
145.                         bFind = TRUE;
     
146.                         break;
     
147.                 }
     
148.                 i++;
     
149.                 p++;
     
150.         }
     
151. 
     
152.         if (!bFind)
     
153.         {
     
154.                 KdPrint(("Find SearchHookPointer faile!\n"));
     
155.                 return 0;
     
156.         }
     
157. 
     
158. 
     
159.         ULONG uFindAddr = (ULONG)p;
     
160. 
     
161.         return uFindAddr;
     
162. }
     
163. 
     
164. ULONG SearchObAssignSecurityHookPointer(ULONG StartAddress)
     
165. {
     
166. 
     
167.         PUCHAR p = (PUCHAR)StartAddress;
     
168.         ULONG i = 0;
     
169.         BOOLEAN bFind = FALSE;
     
170. 
     
171.         while(i < 0x200)
     
172.         {
     
173.                 if (*p == 0xff
     
174.                         && *(p + 1) == 0x96
     
175.                         && *(p + 2) == 0xa0
     
176.                         && *(p - 1) == 0x10
     
177.                         && *(p - 2) == 0x75)
     
178.                 {
     
179.                         bFind = TRUE;
     
180.                         break;
     
181.                 }
     
182.                 i++;
     
183.                 p++;
     
184.         }
     
185. 
     
186.         if (!bFind)
     
187.         {
     
188.                 KdPrint(("Find SearchHookPointer faile!\n"));
     
189.                 return 0;
     
190.         }
     
191. 
     
192. 
     
193.         ULONG uFindAddr = (ULONG)p;
     
194. 
     
195.         return uFindAddr;
     
196. }
     
197. 
     
198. ULONG FilterObjectType(ULONG ObjectType)
     
199. {
     
200.         if (ObjectType == (ULONG)*PsThreadType || ObjectType == (ULONG)*PsProcessType)
     
201.         {
     
202.                 return 1;
     
203.         }
     
204. 
     
205.         return 0;
     
206. }
     
207. 
     
208. __declspec(naked) void NewGetObpGetObjectSecurity()
     
209. {
     
210.         __asm
     
211.         {
     
212.                 pushad
     
213.                 pushfd
     
214. 
     
215.                 push esi
     
216.                 call FilterObjectType
     
217.                 test eax, eax
     
218.                 je __exit
     
219.                 popfd
     
220.                 popad
     
221.                 cmp eax,eax
     
222.                 jmp g_retn_ObpGetObjectSecurity
     
223. 
     
224. __exit:
     
225.                 popfd
     
226.                 popad
     
227.                
     
228.                 push eax
     
229.                 mov eax, g_uSeDefaultObjectMethod
     
230.                 cmp dword ptr [esi + 0A0h], eax
     
231.                 pop eax
     
232.                 jmp g_retn_ObpGetObjectSecurity
     
233.         }
     
234. }
     
235. 
     
236. 
     
237. 
     
238. __declspec(naked) void NewObAssignSecurity()
     
239. {
     
240.         __asm
     
241.         {
     
242.                 pushad
     
243.                 pushfd
     
244. 
     
245.                 push esi
     
246.                 call FilterObjectType
     
247.                 test eax, eax
     
248.                 je __exit
     
249.                 popfd
     
250.                 popad
     
251.                 mov ebx, g_uSeDefaultObjectMethod
     
252.                 call ebx
     
253.                 xor ebx,ebx
     
254.                 //mov dword ptr [esi + 0A0h], ebx
     
255.                 //call dword ptr [esi + 0A0h]
     
256.                 jmp g_retn_ObAssignSecurity
     
257. 
     
258. __exit:
     
259.                 popfd
     
260.                 popad
     
261.                
     
262.                 call dword ptr [esi + 0A0h]
     
263.                 jmp g_retn_ObAssignSecurity
     
264. }
     
265. }
     
266. void PassObjectHook()
     
267. {
     
268.         ULONG uObpGetObjectSecurity = GetObpGetObjectSecurityAddr();
     
269.        
     
270.         g_ObpGetObjectSecurity_hookpointer = SearchObpGetObjectSecurityHookPointer(uObpGetObjectSecurity);
     
271.         g_retn_ObpGetObjectSecurity = g_ObpGetObjectSecurity_hookpointer + 10;
     
272. 
     
273.         g_uSeDefaultObjectMethod = *(PULONG)(g_ObpGetObjectSecurity_hookpointer + 6);
     
274. 
     
275.         Jmp_HookFunction(g_ObpGetObjectSecurity_hookpointer, (ULONG)NewGetObpGetObjectSecurity, g_szBackupObpGetObjectSecurity);
     
276. 
     
277.         //////////////////////////////////////////
     
278. 
     
279.         ULONG uObAssignSecurity = (ULONG)ObAssignSecurity;
     
280.         g_ObAssignSecurity_hookpointer = SearchObAssignSecurityHookPointer(uObAssignSecurity);
     
281.         g_retn_ObAssignSecurity = g_ObAssignSecurity_hookpointer + 6;
     
282. 
     
283.         Jmp_HookFunction(g_ObAssignSecurity_hookpointer, (ULONG)NewObAssignSecurity, g_szBackupObAssignSecurity);
     
284. 
     
285. }
     
286. 
     
287. 
     
288. void UnPassObjectHook()
     
289. {
     
290.         Res_HookFunction(g_ObpGetObjectSecurity_hookpointer, g_szBackupObpGetObjectSecurity, 5);
     
291. 
     
292.         Res_HookFunction(g_ObAssignSecurity_hookpointer, g_szBackupObAssignSecurity, 5);
     
293. }
     
294. 
     
295. 
     
296. #pragma INITCODE
     
297. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
     
298. {
     
299.     NTSTATUS status = STATUS_SUCCESS;
     
300. 
     
301.         PassObjectHook();
     
302.     DriverObject->DriverUnload = DriverUnload;
     
303.     return status;
     
304. }
     
305. 
     
306. #pragma PAGEDCODE
     
307. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
     
308. {
     
309.   
     
310.         UnPassObjectHook();
     
311.     KdPrint(("DriverEntry unLoading...\n"));
     
312.   
     
313. }

复制代码