通用shadow ssdt hook的详解以及代码的编写

forwe

Driver.h

1. #ifdef __cplusplus
   
2. extern "C"
   
3. {
   
4. #endif
   
5. //#include <ntddk.h>
   
6. #include <ntifs.h>
   
7. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath);
   
8. 
   
9. #ifdef __cplusplus
   
10. }
    
11. #endif
    
12. 
    
13. #define PAGEDCODE code_seg("PAGE")
    
14. #define LOCKEDCODE code_seg()
    
15. #define INITCODE code_seg("INIT")
    
16. 
    
17. #define PAGEDDATA data_seg("PAGE")
    
18. #define LOCKEDDATA data_seg()
    
19. #define INITDATA data_seg("INIT")
    
20. 
    
21. #define arraysize(p) (sizeof(p)/sizeof((p)[0]))
    
22. 
    
23. #pragma pack(1)
    
24. typedef struct ServiceDescriptorEntry {
    
25.         unsigned int *ServiceTableBase;
    
26.         unsigned int *ServiceCounterTableBase; //仅适用于checked build版本
    
27.         unsigned int NumberOfServices;
    
28.         unsigned char *ParamTableBase;
    
29. } ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;
    
30. #pragma pack()
    
31. 
    
32. extern "C" PServiceDescriptorTableEntry_t KeServiceDescriptorTable;
    
33. 
    
34. 
    
35. 
    
36. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject);
    
37. 
    
38. EXTERN_C NTKERNELAPI BOOLEAN KeAddSystemServiceTable (
    
39.     IN PULONG_PTR Base,
    
40.     IN PULONG Count OPTIONAL,
    
41.     IN ULONG Limit,
    
42.     IN PUCHAR Number,
    
43.     IN ULONG Index
    
44.     );
    
45. 
    
46. typedef enum _SYSTEM_INFORMATION_CLASS {
    
47.         SystemBasicInformation,
    
48.         SystemProcessorInformation,             // obsolete...delete
    
49.         SystemPerformanceInformation,
    
50.         SystemTimeOfDayInformation,
    
51.         SystemPathInformation,
    
52.         SystemProcessInformation,
    
53.         SystemCallCountInformation,
    
54.         SystemDeviceInformation,
    
55.         SystemProcessorPerformanceInformation,
    
56.         SystemFlagsInformation,
    
57.         SystemCallTimeInformation,
    
58.         SystemModuleInformation,
    
59.         SystemLocksInformation,
    
60.         SystemStackTraceInformation,
    
61.         SystemPagedPoolInformation,
    
62.         SystemNonPagedPoolInformation,
    
63.         SystemHandleInformation,
    
64.         SystemObjectInformation,
    
65.         SystemPageFileInformation,
    
66.         SystemVdmInstemulInformation,
    
67.         SystemVdmBopInformation,
    
68.         SystemFileCacheInformation,
    
69.         SystemPoolTagInformation,
    
70.         SystemInterruptInformation,
    
71.         SystemDpcBehaviorInformation,
    
72.         SystemFullMemoryInformation,
    
73.         SystemLoadGdiDriverInformation,
    
74.         SystemUnloadGdiDriverInformation,
    
75.         SystemTimeAdjustmentInformation,
    
76.         SystemSummaryMemoryInformation,
    
77.         SystemMirrorMemoryInformation,
    
78.         SystemPerformanceTraceInformation,
    
79.         SystemObsolete0,
    
80.         SystemExceptionInformation,
    
81.         SystemCrashDumpStateInformation,
    
82.         SystemKernelDebuggerInformation,
    
83.         SystemContextSwitchInformation,
    
84.         SystemRegistryQuotaInformation,
    
85.         SystemExtendServiceTableInformation,
    
86.         SystemPrioritySeperation,
    
87.         SystemVerifierAddDriverInformation,
    
88.         SystemVerifierRemoveDriverInformation,
    
89.         SystemProcessorIdleInformation,
    
90.         SystemLegacyDriverInformation,
    
91.         SystemCurrentTimeZoneInformation,
    
92.         SystemLookasideInformation,
    
93.         SystemTimeSlipNotification,
    
94.         SystemSessionCreate,
    
95.         SystemSessionDetach,
    
96.         SystemSessionInformation,
    
97.         SystemRangeStartInformation,
    
98.         SystemVerifierInformation,
    
99.         SystemVerifierThunkExtend,
    
100.         SystemSessionProcessInformation,
     
101.         SystemLoadGdiDriverInSystemSpace,
     
102.         SystemNumaProcessorMap,
     
103.         SystemPrefetcherInformation,
     
104.         SystemExtendedProcessInformation,
     
105.         SystemRecommendedSharedDataAlignment,
     
106.         SystemComPlusPackage,
     
107.         SystemNumaAvailableMemory,
     
108.         SystemProcessorPowerInformation,
     
109.         SystemEmulationBasicInformation,
     
110.         SystemEmulationProcessorInformation,
     
111.         SystemExtendedHandleInformation,
     
112.         SystemLostDelayedWriteInformation,
     
113.         SystemBigPoolInformation,
     
114.         SystemSessionPoolTagInformation,
     
115.         SystemSessionMappedViewInformation,
     
116.         SystemHotpatchInformation,
     
117.         SystemObjectSecurityMode,
     
118.         SystemWatchdogTimerHandler,
     
119.         SystemWatchdogTimerInformation,
     
120.         SystemLogicalProcessorInformation,
     
121.         SystemWow64SharedInformation,
     
122.         SystemRegisterFirmwareTableInformationHandler,
     
123.         SystemFirmwareTableInformation,
     
124.         SystemModuleInformationEx,
     
125.         SystemVerifierTriageInformation,
     
126.         SystemSuperfetchInformation,
     
127.         SystemMemoryListInformation,
     
128.         SystemFileCacheInformationEx,
     
129.         MaxSystemInfoClass  // MaxSystemInfoClass should always be the last enum
     
130. } SYSTEM_INFORMATION_CLASS;
     
131. 
     
132. //
     
133. 
     
134. 
     
135. EXTERN_C NTSYSAPI NTSTATUS ZwQuerySystemInformation (
     
136.                                                   __in SYSTEM_INFORMATION_CLASS SystemInformationClass,
     
137.                                                   __out_bcount_opt(SystemInformationLength) PVOID SystemInformation,
     
138.                                                   __in ULONG SystemInformationLength,
     
139.                                                   __out_opt PULONG ReturnLength
     
140.                                                   );
     
141. 
     
142. EXTERN_C NTKERNELAPI NTSTATUS NtOpenProcess (
     
143.                            __out PHANDLE ProcessHandle,
     
144.                            __in ACCESS_MASK DesiredAccess,
     
145.                            __in POBJECT_ATTRIBUTES ObjectAttributes,
     
146.                            __in_opt PCLIENT_ID ClientId
     
147.                            );
     
148. 
     
149. 
     
150. 
     
151. typedef struct _SYSTEM_THREADS {
     
152.         LARGE_INTEGER   KernelTime;
     
153.         LARGE_INTEGER   UserTime;
     
154.         LARGE_INTEGER   CreateTime;
     
155.         ULONG           WaitTime;
     
156.         PVOID           StartAddress;
     
157.         CLIENT_ID       ClientIs;
     
158.         KPRIORITY       Priority;
     
159.         KPRIORITY       BasePriority;
     
160.         ULONG           ContextSwitchCount;
     
161.         ULONG           ThreadState;
     
162.         KWAIT_REASON    WaitReason;
     
163. }SYSTEM_THREADS;
     
164. 
     
165. typedef struct _SYSTEM_PROCESSES {
     
166.         ULONG           NextEntryDelta;
     
167.         ULONG           ThreadCount;
     
168.         ULONG           Reserved[6];
     
169.         LARGE_INTEGER   CreateTime;
     
170.         LARGE_INTEGER   UserTime;
     
171.         LARGE_INTEGER   KernelTime;
     
172.         UNICODE_STRING ProcessName;
     
173.         KPRIORITY       BasePriority;
     
174.         ULONG           ProcessId;
     
175.         ULONG           InheritedFromProcessId;
     
176.         ULONG           HandleCount;
     
177.         ULONG           Reserved2[2];
     
178.         VM_COUNTERS     VmCounters;
     
179.         IO_COUNTERS     IoCounters; //windows 2000 only
     
180.         struct _SYSTEM_THREADS Threads[1];
     
181. }SYSTEM_PROCESSES, *PSYSTEM_PROCESSES;
     
182. 
     
183. 
     
184. PVOID GetShadowTable();
     
185. PKAPC_STATE AttachToCsrss();
     
186. 
     
187. typedef HANDLE HWND;
     
188. typedef HWND (*pNtUserFindWindowEx)(
     
189.                                                 IN HWND hwndParent,
     
190.                                                 IN HWND hwndChild,
     
191.                                                 IN PUNICODE_STRING pstrClassName,
     
192.                                                 IN PUNICODE_STRING pstrWindowName);
     
193. 
     
194. HWND MyNtUserFindWindowEx(
     
195.                                                 IN HWND hwndParent,
     
196.                                                 IN HWND hwndChild,
     
197.                                                 IN PUNICODE_STRING pstrClassName,
     
198.                                                 IN PUNICODE_STRING pstrWindowName);
     
199. 
     
200. #define ProbeAndReadUnicodeString(Source) \
     
201.         (((Source) >= (UNICODE_STRING * const)MM_USER_PROBE_ADDRESS) ? \
     
202.         (*( UNICODE_STRING * const)MM_USER_PROBE_ADDRESS) : (*( UNICODE_STRING *)(Source)))

复制代码

Driver.cpp

1. #include "Driver.h"
   
2. 
   
3. pNtUserFindWindowEx g_pfnNtUserFindWindowEx = NULL;
   
4. PServiceDescriptorTableEntry_t KeServiceDescriptorTableShadow = NULL;
   
5. PKAPC_STATE g_pKapcState;
   
6. 
   
7. void PageProtectOn()
   
8. {
   
9.         //恢复内存保护
   
10.         __asm
    
11.         {
    
12.                 mov eax, cr0
    
13.                         or eax, 10000h
    
14.                         mov cr0, eax
    
15.                         sti
    
16.         }
    
17. }
    
18. 
    
19. void PageProtectOff()
    
20. {
    
21.         //去掉内存保护
    
22.         __asm
    
23.         {
    
24.                 cli
    
25.                         mov eax, cr0
    
26.                         and eax, not 10000h
    
27.                         mov cr0, eax
    
28.         }
    
29. }
    
30. 
    
31. 
    
32. PVOID GetShadowTable()
    
33. {
    
34.        
    
35.         PUCHAR pKeAddSystemAddr = (PUCHAR)KeAddSystemServiceTable;
    
36. 
    
37.         for (ULONG i = 0; i < 4096; i++, pKeAddSystemAddr++)
    
38.         {
    
39.                 PUCHAR p = (PUCHAR)*(PULONG)pKeAddSystemAddr;
    
40. 
    
41.                 if (MmIsAddressValid(p))
    
42.                 {
    
43.                         __try
    
44.                         {
    
45.                                         if (p == (PUCHAR)KeServiceDescriptorTable)
    
46.                                         {
    
47.                                                 continue;
    
48.                                         }
    
49.                                         else
    
50.                                         {
    
51.                                                 return p;
    
52.                                         }       
    
53.                         }
    
54.                         __except(EXCEPTION_EXECUTE_HANDLER)
    
55.                         {
    
56.                                 return NULL;
    
57.                         }
    
58.                 }
    
59.         }
    
60. 
    
61.         return NULL;
    
62. }
    
63. 
    
64. 
    
65. #pragma PAGEDCODE
    
66. PKAPC_STATE AttachToCsrss()
    
67. {
    
68.         PVOID pBuffer = NULL;
    
69.         ULONG uBufferSize = 1000 * sizeof(SYSTEM_PROCESSES);
    
70.         ULONG uRetLength = 0;
    
71.         NTSTATUS status;
    
72.         UNICODE_STRING usstrCsrss;
    
73. 
    
74.         PKAPC_STATE pApcState = NULL;
    
75. 
    
76.         RtlInitUnicodeString(&usstrCsrss, L"csrss.exe");
    
77. 
    
78.         do
    
79.         {
    
80.                 if (pBuffer != NULL)
    
81.                 {
    
82.                         ExFreePool(pBuffer);
    
83.                         pBuffer = NULL;
    
84.                 }
    
85.                 pBuffer = ExAllocatePoolWithTag(PagedPool, uBufferSize, '0123');
    
86.                 if (pBuffer == NULL)
    
87.                 {
    
88.                         return NULL;
    
89.                 }
    
90.                 status =  ZwQuerySystemInformation(SystemProcessInformation, pBuffer, uBufferSize, &uRetLength);
    
91.                 if (status != STATUS_SUCCESS && status != STATUS_INFO_LENGTH_MISMATCH)
    
92.                 {
    
93.                         break;
    
94.                 }
    
95.                
    
96.                 uBufferSize = uBufferSize * 2;
    
97. 
    
98.         } while (status != STATUS_SUCCESS && uBufferSize < 1000000);
    
99.        
    
100. 
     
101.         if (status == STATUS_SUCCESS)
     
102.         {
     
103.                 PSYSTEM_PROCESSES pSyeInfo = (PSYSTEM_PROCESSES)pBuffer;
     
104.                 do
     
105.                 {
     
106.                         if (RtlCompareUnicodeString(&pSyeInfo->ProcessName, &usstrCsrss, TRUE) == 0)
     
107.                         {
     
108.                                 KdPrint(("find %wZ\n", &pSyeInfo->ProcessName));
     
109.                                 ULONG uPID = pSyeInfo->ProcessId;
     
110.                                 HANDLE hProcess = NULL;
     
111.                                 OBJECT_ATTRIBUTES ObjectAttributes;
     
112.                                 InitializeObjectAttributes(&ObjectAttributes, NULL, OBJ_KERNEL_HANDLE, NULL, NULL);
     
113.                                 CLIENT_ID ClientId;
     
114.                                 ClientId.UniqueProcess = (HANDLE)uPID;
     
115.                                 ClientId.UniqueThread = 0;
     
116.                                 status = NtOpenProcess(&hProcess, PROCESS_ALL_ACCESS, &ObjectAttributes, &ClientId);
     
117.                                
     
118.                                 if (status == STATUS_SUCCESS)
     
119.                                 {
     
120.                                         PEPROCESS pEprocess = NULL;
     
121.                                         status = ObReferenceObjectByHandle(hProcess, PROCESS_ALL_ACCESS, NULL, KernelMode, (PVOID *)&pEprocess, NULL);
     
122. 
     
123.                                         if (status == STATUS_SUCCESS)
     
124.                                         {
     
125.                                                 pApcState = (PKAPC_STATE)ExAllocatePoolWithTag(NonPagedPool, sizeof(KAPC_STATE), 'APC');
     
126.                                                
     
127.                                                 if (pApcState)
     
128.                                                 {
     
129.                                                         KeStackAttachProcess(pEprocess, pApcState);
     
130.                                                 }
     
131. 
     
132.                                                 ObDereferenceObject(pEprocess);
     
133.                                         }
     
134.                                         ZwClose(hProcess);
     
135.                                 }
     
136. 
     
137.                         }
     
138. 
     
139.                         pSyeInfo = (PSYSTEM_PROCESSES) ((ULONG)pSyeInfo + pSyeInfo->NextEntryDelta);
     
140. 
     
141.                 } while (pSyeInfo->NextEntryDelta && pApcState == NULL);
     
142.         }
     
143. 
     
144.         if (pBuffer != NULL)
     
145.         {
     
146.                 ExFreePool(pBuffer);
     
147.         }
     
148. 
     
149.         return pApcState;
     
150.        
     
151. }
     
152. 
     
153. 
     
154. 
     
155. 
     
156. #pragma PAGEDCODE
     
157. ULONG GetSSSDTAddr(ULONG uIndex)
     
158. {
     
159.         //ULONG u_index;
     
160. 
     
161.         //for (u_index = 0; u_index < KeServiceDescriptorTableShadow->NumberOfServices; u_index++)
     
162.         //{
     
163.         //        KdPrint(("KeServiceDescriptorTableShadow[%d]:%X\n", u_index, KeServiceDescriptorTableShadow->ServiceTableBase[u_index]));
     
164.         //}
     
165. 
     
166.         if (KeServiceDescriptorTableShadow == NULL)
     
167.         {
     
168.                 return 0;
     
169.         }
     
170. 
     
171.         ULONG uAddr = (ULONG)KeServiceDescriptorTableShadow->ServiceTableBase[uIndex];
     
172. 
     
173.         return uAddr;
     
174. }
     
175. 
     
176. 
     
177. BOOLEAN HookSSSDT(ULONG uIndex, ULONG uNewAddr)
     
178. {
     
179.         if (uNewAddr == 0)
     
180.         {
     
181.                 return FALSE;
     
182.         }
     
183. 
     
184.         PageProtectOff();
     
185.         KeServiceDescriptorTableShadow->ServiceTableBase[uIndex] = uNewAddr;
     
186.         PageProtectOn();
     
187. 
     
188.         return TRUE;
     
189. }
     
190. 
     
191. 
     
192. BOOLEAN UnHookSSSDT(ULONG uIndex, ULONG uOldAddr)
     
193. {
     
194.         if (uOldAddr == 0)
     
195.         {
     
196.                 return FALSE;
     
197.         }
     
198. 
     
199.         PageProtectOff();
     
200.         KeServiceDescriptorTableShadow->ServiceTableBase[uIndex] = uOldAddr;
     
201.         PageProtectOn();
     
202. 
     
203.         return TRUE;
     
204. }
     
205. 
     
206. 
     
207. HWND MyNtUserFindWindowEx(
     
208.                                                   IN HWND hwndParent,
     
209.                                                   IN HWND hwndChild,
     
210.                                                   IN PUNICODE_STRING pstrClassName,
     
211.                                                   IN PUNICODE_STRING pstrWindowName)
     
212. {
     
213.         UNICODE_STRING strClassName;
     
214.         UNICODE_STRING strWindowName;
     
215. 
     
216.         __try
     
217.         {
     
218.                 strClassName = ProbeAndReadUnicodeString(pstrClassName);
     
219.                 strWindowName = ProbeAndReadUnicodeString(pstrWindowName);
     
220. 
     
221.                 ProbeForRead(strClassName.Buffer, strClassName.Length, sizeof(WCHAR));
     
222.                 ProbeForRead(strWindowName.Buffer, strWindowName.Length, sizeof(WCHAR));
     
223. 
     
224.                 KdPrint(("ClassName %wZ --- WindowName %wZ\n", &strClassName, &strWindowName));
     
225.         }
     
226.         __except(EXCEPTION_EXECUTE_HANDLER)
     
227.         {
     
228. 
     
229.         }
     
230. 
     
231.         return g_pfnNtUserFindWindowEx(hwndParent, hwndChild, pstrClassName, pstrWindowName);
     
232. }
     
233. 
     
234. 
     
235. 
     
236. #pragma INITCODE
     
237. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
     
238. {
     
239.   NTSTATUS status = STATUS_SUCCESS;
     
240.   KeServiceDescriptorTableShadow = (PServiceDescriptorTableEntry_t)GetShadowTable();
     
241.   KeServiceDescriptorTableShadow += 1;
     
242.   g_pKapcState = AttachToCsrss();
     
243.   if (g_pKapcState != NULL)
     
244.   {
     
245.           ULONG uAddr = GetSSSDTAddr(378);
     
246.           if (uAddr)
     
247.           {
     
248.                   g_pfnNtUserFindWindowEx = (pNtUserFindWindowEx)uAddr;
     
249.                   KdPrint(("NtUserFindWindowEx: 0x%08X\n", uAddr));
     
250.                   HookSSSDT(378, (ULONG)MyNtUserFindWindowEx);
     
251.           }
     
252.           
     
253.   }
     
254.   DriverObject->DriverUnload = DriverUnload;
     
255.   return status;
     
256. }
     
257. 
     
258. #pragma PAGEDCODE
     
259. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
     
260. {
     
261.   
     
262.   UnHookSSSDT(378, (ULONG)g_pfnNtUserFindWindowEx);
     
263.   if (g_pKapcState != NULL)
     
264.   {
     
265.           KeUnstackDetachProcess(g_pKapcState);
     
266.           ExFreePool(g_pKapcState);
     
267.   }
     
268. 
     
269.   KdPrint(("DriverEntry unLoading...\n"));
     
270.   
     
271. }

复制代码