对内核代码任意位置hook编写 (内联HOOK inline hook)

forwe

1. #include "ntddk.h"
   
2. 
   
3. #define PAGEDCODE code_seg("PAGE")
   
4. #define LOCKEDCODE code_seg()
   
5. #define INITCODE code_seg("INIT")
   
6. 
   
7. #define PAGEDDATA data_seg("PAGE")
   
8. #define LOCKEDDATA data_seg()
   
9. #define INITDATA data_seg("INIT")
   
10. 
    
11. #pragma pack(1)
    
12. typedef struct ServiceDescriptorEntry {
    
13.         unsigned int *ServiceTableBase;
    
14.         unsigned int *ServiceCounterTableBase; //仅适用于checked build版本
    
15.         unsigned int NumberOfServices;
    
16.         unsigned char *ParamTableBase;
    
17. } ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;
    
18. #pragma pack()
    
19. 
    
20. __declspec (dllimport) ServiceDescriptorTableEntry_t KeServiceDescriptorTable;
    
21. 
    
22. void PageProtectOn()
    
23. {
    
24.         //恢复内存保护
    
25.         __asm
    
26.         {
    
27.                 mov eax, cr0
    
28.                 or eax, 10000h
    
29.                 mov cr0, eax
    
30.                 sti
    
31.         }
    
32. }
    
33. 
    
34. void PageProtectOff()
    
35. {
    
36.         //去掉内存保护
    
37.         __asm
    
38.         {
    
39.                 cli
    
40.                 mov eax, cr0
    
41.                 and eax, not 10000h
    
42.                 mov cr0, eax
    
43.         }
    
44. }
    
45. 
    
46. ULONG g_ntOpenKey;
    
47. ULONG g_jmp_origNtOpenKey;
    
48. UCHAR g_orig_funcode[5];
    
49. 
    
50. void FilterNtOpenKey()
    
51. {
    
52.         KdPrint(("%s\n", (char*)PsGetCurrentProcess() + 0x174));
    
53. }
    
54. 
    
55. __declspec(naked) void NewOpenKey()
    
56. {
    
57.         __asm
    
58.         {
    
59.                 pushad
    
60.                 call FilterNtOpenKey
    
61.                 popad
    
62.                 pop eax
    
63.                 push 0x94
    
64.                 jmp g_jmp_origNtOpenKey
    
65.         }
    
66. }
    
67. 
    
68. 
    
69. 
    
70. #pragma PAGEDCODE
    
71. void HookNtOpenKey()
    
72. {
    
73.         ULONG u_jmp_temp;
    
74.         UCHAR jmp_code[5];
    
75. 
    
76.         g_ntOpenKey = KeServiceDescriptorTable.ServiceTableBase[119];
    
77.         g_jmp_origNtOpenKey = g_ntOpenKey + 5;
    
78. 
    
79.         u_jmp_temp = (ULONG)NewOpenKey - g_ntOpenKey - 5;
    
80. 
    
81.         jmp_code[0] = 0xe8;
    
82.         *(ULONG *)&jmp_code[1] = u_jmp_temp;
    
83. 
    
84.         PageProtectOff();
    
85. 
    
86.         RtlCopyMemory(g_orig_funcode, (PVOID)g_ntOpenKey, 5);
    
87.         RtlCopyMemory((PVOID)g_ntOpenKey, jmp_code, 5);
    
88. 
    
89.         PageProtectOn();
    
90. }
    
91. 
    
92. #pragma PAGEDCODE
    
93. void UnHookOpenKey()
    
94. {
    
95.         PageProtectOff();
    
96. 
    
97.         RtlCopyMemory((PVOID)g_ntOpenKey, g_orig_funcode, 5);
    
98. 
    
99.         PageProtectOn();
    
100. }
     
101. 
     
102. #pragma PAGEDCODE
     
103. VOID MyDriverUnload(IN PDRIVER_OBJECT pDriverObject)
     
104. {
     
105. 
     
106.         UnHookOpenKey();
     
107.         KdPrint(("DriverEntry unLoading...\n"));
     
108. 
     
109. }
     
110. 
     
111. 
     
112. #pragma INITCODE
     
113. NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject, IN PUNICODE_STRING RegistryPath)
     
114. {
     
115.         NTSTATUS status = STATUS_SUCCESS;
     
116. 
     
117.         HookNtOpenKey();
     
118.         pDriverObject->DriverUnload = MyDriverUnload;
     
119.         return status;
     
120. }

复制代码