通过hook KiFastCallEntry来过滤SSDT 或者 Shadow SSDT

forwe

Driver.h

1. #ifdef __cplusplus
   
2. extern "C"
   
3. {
   
4. #endif
   
5. #include <ntddk.h>
   
6. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath);
   
7. 
   
8. #ifdef __cplusplus
   
9. }
   
10. #endif
    
11. 
    
12. #define PAGEDCODE code_seg("PAGE")
    
13. #define LOCKEDCODE code_seg()
    
14. #define INITCODE code_seg("INIT")
    
15. 
    
16. #define PAGEDDATA data_seg("PAGE")
    
17. #define LOCKEDDATA data_seg()
    
18. #define INITDATA data_seg("INIT")
    
19. 
    
20. #define arraysize(p) (sizeof(p)/sizeof((p)[0]))
    
21. 
    
22. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject);

复制代码

Driver.cpp

1. #include "Driver.h"
   
2. 
   
3. ULONG g_KiFastCallEntry_hookpointer;
   
4. ULONG g_goto_origfunc;
   
5. UCHAR g_szBackupKiFastCallEntry[5];
   
6. 
   
7. 
   
8. void PageProtectOn()
   
9. {
   
10.         //恢复内存保护
    
11.         __asm
    
12.         {
    
13.                 mov eax, cr0
    
14.                         or eax, 10000h
    
15.                         mov cr0, eax
    
16.                         sti
    
17.         }
    
18. }
    
19. 
    
20. void PageProtectOff()
    
21. {
    
22.         //去掉内存保护
    
23.         __asm
    
24.         {
    
25.                 cli
    
26.                         mov eax, cr0
    
27.                         and eax, not 10000h
    
28.                         mov cr0, eax
    
29.         }
    
30. }
    
31. 
    
32. ULONG GetKiFastCallEntryAddr()
    
33. {
    
34.         ULONG uKiFastCallEntryAddr = 0;
    
35. 
    
36.         __asm
    
37.         {
    
38.                 mov ecx, 0x176
    
39.                 rdmsr
    
40.                 mov uKiFastCallEntryAddr, eax
    
41.         }
    
42. 
    
43.         if (uKiFastCallEntryAddr == 0)
    
44.         {
    
45.                 return 0;
    
46.         }
    
47. 
    
48.         return uKiFastCallEntryAddr;
    
49. 
    
50. }
    
51. 
    
52. 
    
53. ULONG SearchHookPointer(ULONG StartAddress)
    
54. {
    
55. 
    
56.         PUCHAR p = (PUCHAR)StartAddress;
    
57.         ULONG i = 0;
    
58.         BOOLEAN bFind = FALSE;
    
59. 
    
60.         while(i < 0x200)
    
61.         {
    
62.                 if (*p == 0x2b
    
63.                         && *(p + 1) == 0xe1
    
64.                         && *(p + 2) == 0xc1
    
65.                         && *(p + 3) == 0xe9
    
66.                         && *(p + 4) == 0x02
    
67.                         && *(p - 1) == 0x87
    
68.                         && *(p - 2) == 0x1c)
    
69.                 {
    
70.                         bFind = TRUE;
    
71.                         break;
    
72.                 }
    
73.                 i++;
    
74.                 p++;
    
75.         }
    
76. 
    
77.         if (!bFind)
    
78.         {
    
79.                 KdPrint(("Find SearchHookPointer faile!\n"));
    
80.                 return 0;
    
81.         }
    
82. 
    
83. 
    
84.         ULONG uFindAddr = (ULONG)p;
    
85. 
    
86.         return uFindAddr;
    
87. 
    
88. }
    
89. 
    
90. ULONG FilterKiFastCallEntry(ULONG uServiceTableBaseAddr, ULONG uIndex, ULONG uOrigFuncAddr)
    
91. {
    
92.        
    
93. 
    
94.         return uOrigFuncAddr;
    
95. }
    
96. 
    
97. __declspec(naked) void NewKiFastCallEntry()
    
98. {
    
99.         __asm
    
100.         {
     
101.                 pushad
     
102.                 pushfd
     
103. 
     
104.                 push ebx
     
105.                 push eax
     
106.                 push edi
     
107.                 call FilterKiFastCallEntry
     
108. 
     
109.                 mov [esp + 0x14], eax
     
110. 
     
111.                 popfd
     
112.                 popad
     
113. 
     
114.                 sub     esp,ecx
     
115.                 shr     ecx,2
     
116. 
     
117.                 jmp g_goto_origfunc
     
118.         }
     
119. }
     
120. 
     
121. void UnHookKiFastCallEntry()
     
122. {
     
123.         PageProtectOff();
     
124.         RtlCopyMemory((PVOID)g_KiFastCallEntry_hookpointer, g_szBackupKiFastCallEntry, 5);
     
125.         PageProtectOn();
     
126. }
     
127. 
     
128. VOID HookKiFastCallEntry()
     
129. {
     
130.         ULONG uKiFastCallEntryAddr = GetKiFastCallEntryAddr();
     
131. 
     
132.         g_KiFastCallEntry_hookpointer = SearchHookPointer(uKiFastCallEntryAddr);
     
133. 
     
134.         g_goto_origfunc = g_KiFastCallEntry_hookpointer + 5;
     
135. 
     
136.         ULONG   utemp;
     
137.         UCHAR   jmp_code[5];
     
138. 
     
139.         jmp_code[0] = 0xE9;
     
140. 
     
141.         utemp = (ULONG)NewKiFastCallEntry - g_KiFastCallEntry_hookpointer - 5;
     
142. 
     
143.         *(ULONG*)&jmp_code[1] = utemp;
     
144. 
     
145.         PageProtectOff();
     
146. 
     
147.         RtlCopyMemory(g_szBackupKiFastCallEntry, (PVOID)g_KiFastCallEntry_hookpointer, 5);
     
148. 
     
149.         RtlCopyMemory((PVOID)g_KiFastCallEntry_hookpointer, jmp_code, 5);
     
150. 
     
151.         PageProtectOn();
     
152. 
     
153. }
     
154. 
     
155. #pragma INITCODE
     
156. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
     
157. {
     
158.     NTSTATUS status = STATUS_SUCCESS;
     
159. 
     
160.         HookKiFastCallEntry();
     
161. 
     
162.     DriverObject->DriverUnload = DriverUnload;
     
163.     return status;
     
164. }
     
165. 
     
166. #pragma PAGEDCODE
     
167. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
     
168. {
     
169.   
     
170.         UnHookKiFastCallEntry();
     
171.     KdPrint(("DriverEntry unLoading...\n"));
     
172.   
     
173. }

复制代码