实现hook ssdt

forwe

1. #include "ntddk.h"
   
2. 
   
3. #define PAGEDCODE code_seg("PAGE")
   
4. #define LOCKEDCODE code_seg()
   
5. #define INITCODE code_seg("INIT")
   
6. 
   
7. #define PAGEDDATA data_seg("PAGE")
   
8. #define LOCKEDDATA data_seg()
   
9. #define INITDATA data_seg("INIT")
   
10. 
    
11. #pragma pack(1)
    
12. typedef struct ServiceDescriptorEntry {
    
13.         unsigned int *ServiceTableBase;
    
14.         unsigned int *ServiceCounterTableBase; //仅适用于checked build版本
    
15.         unsigned int NumberOfServices;
    
16.         unsigned char *ParamTableBase;
    
17. } ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;
    
18. #pragma pack()
    
19. 
    
20. __declspec (dllimport) ServiceDescriptorTableEntry_t KeServiceDescriptorTable;
    
21. 
    
22. ULONG g_ntopenprocess;
    
23. 
    
24. typedef NTSTATUS (*pNtOpenProcess) (
    
25.         __out PHANDLE ProcessHandle,
    
26.         __in ACCESS_MASK DesiredAccess,
    
27.         __in POBJECT_ATTRIBUTES ObjectAttributes,
    
28.         __in_opt PCLIENT_ID ClientId
    
29.         );
    
30. 
    
31. NTSTATUS PsLookupProcessByProcessId(
    
32.    IN HANDLE ProcessId,
    
33.    OUT PEPROCESS *Process
    
34.    );
    
35. 
    
36. 
    
37. 
    
38. void PageProtectOn()
    
39. {
    
40.         //恢复内存保护
    
41.         __asm
    
42.         {
    
43.                 mov eax, cr0
    
44.                 or eax, 10000h
    
45.                 mov cr0, eax
    
46.                 sti
    
47.         }
    
48. }
    
49. 
    
50. void PageProtectOff()
    
51. {
    
52.         //去掉内存保护
    
53.         __asm
    
54.         {
    
55.                 cli
    
56.                 mov eax, cr0
    
57.                 and eax, not 10000h
    
58.                 mov cr0, eax
    
59.         }
    
60. }
    
61. 
    
62. BOOLEAN ProtectProcess(HANDLE ProcessId, char* strProtectObjName)
    
63. {
    
64.         NTSTATUS Status;
    
65.         PEPROCESS process_obj;
    
66. 
    
67.         if (!MmIsAddressValid(strProtectObjName))
    
68.         {
    
69.                 return FALSE;
    
70.         }
    
71.        
    
72.         if (ProcessId == 0)
    
73.         {
    
74.                 return FALSE;
    
75.         }
    
76. 
    
77.         Status = PsLookupProcessByProcessId(ProcessId, &process_obj);
    
78.         if (!NT_SUCCESS(Status))
    
79.         {
    
80.                 KdPrint(("error code:%X", Status));
    
81.                 return FALSE;
    
82.         }
    
83. 
    
84.         if (strcmp((UCHAR *)process_obj + 0x174, strProtectObjName) == 0)
    
85.         {
    
86.                 ObDereferenceObject(process_obj);
    
87.                 return TRUE;
    
88.         }
    
89.        
    
90.         ObDereferenceObject(process_obj);
    
91.         return FALSE;
    
92. }
    
93. 
    
94. 
    
95. NTSTATUS NewNtOpenProcess (
    
96.    __out PHANDLE ProcessHandle,
    
97.    __in ACCESS_MASK DesiredAccess,
    
98.    __in POBJECT_ATTRIBUTES ObjectAttributes,
    
99.    __in_opt PCLIENT_ID ClientId
    
100.    )
     
101. {
     
102.         //KdPrint(("NewNtOpenProcess comming!---%s", (UCHAR *)PsGetCurrentProcess() + 0x174));
     
103.        
     
104.         if (ProtectProcess(ClientId->UniqueProcess, "notepad.exe"))
     
105.         {
     
106.                 KdPrint(("Procect comming!...."));
     
107.                 return STATUS_UNSUCCESSFUL;
     
108.         }
     
109. 
     
110.         return ((pNtOpenProcess)g_ntopenprocess)(ProcessHandle, DesiredAccess, ObjectAttributes, ClientId);
     
111. }
     
112. 
     
113. 
     
114. #pragma PAGEDCODE
     
115. NTSTATUS HookNtOpenProcess()
     
116. {
     
117.         NTSTATUS Status = STATUS_SUCCESS;
     
118. 
     
119.         //ULONG u_index;
     
120. 
     
121.         //for (u_index = 0; u_index < KeServiceDescriptorTable.NumberOfServices; u_index++)
     
122.         //{
     
123.         //        KdPrint(("ServiceTableBase[%d]:%X", u_index, KeServiceDescriptorTable.ServiceTableBase[u_index]));
     
124.         //}
     
125. 
     
126.         PageProtectOff();
     
127.        
     
128.         g_ntopenprocess = KeServiceDescriptorTable.ServiceTableBase[122];
     
129.         KeServiceDescriptorTable.ServiceTableBase[122] = (unsigned int )NewNtOpenProcess;
     
130.                
     
131.         PageProtectOn();
     
132.        
     
133. 
     
134. 
     
135.         return Status;
     
136. }
     
137. 
     
138. #pragma PAGEDCODE
     
139. void UnHookOpenProcess()
     
140. {
     
141.         PageProtectOff();
     
142. 
     
143.         KeServiceDescriptorTable.ServiceTableBase[122] = g_ntopenprocess;
     
144. 
     
145.         PageProtectOn();
     
146. 
     
147. }
     
148. 
     
149. 
     
150. #pragma PAGEDCODE
     
151. VOID MyDriverUnload(IN PDRIVER_OBJECT pDriverObject)
     
152. {
     
153. 
     
154.         KdPrint(("DriverEntry unLoading...\n"));
     
155.         UnHookOpenProcess();
     
156. }
     
157. 
     
158. 
     
159. 
     
160. #pragma INITCODE
     
161. NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject, IN PUNICODE_STRING RegistryPath)
     
162. {
     
163.         NTSTATUS status = STATUS_SUCCESS;
     
164. 
     
165.         HookNtOpenProcess();
     
166. 
     
167.         pDriverObject->DriverUnload = MyDriverUnload;
     
168.         return status;
     
169. }

复制代码