hook KiFastCallEntry实现程序对系统服务调用的拦截

forwe

1. #include "ntddk.h"
   
2. 
   
3. #define PAGEDCODE code_seg("PAGE")
   
4. #define LOCKEDCODE code_seg()
   
5. #define INITCODE code_seg("INIT")
   
6. 
   
7. #define PAGEDDATA data_seg("PAGE")
   
8. #define LOCKEDDATA data_seg()
   
9. #define INITDATA data_seg("INIT")
   
10. 
    
11. #pragma pack(1)
    
12. typedef struct ServiceDescriptorEntry {
    
13.         unsigned int *ServiceTableBase;
    
14.         unsigned int *ServiceCounterTableBase; //仅适用于checked build版本
    
15.         unsigned int NumberOfServices;
    
16.         unsigned char *ParamTableBase;
    
17. } ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;
    
18. #pragma pack()
    
19. 
    
20. __declspec (dllimport) ServiceDescriptorTableEntry_t KeServiceDescriptorTable;
    
21. 
    
22. void PageProtectOn()
    
23. {
    
24.         //恢复内存保护
    
25.         __asm
    
26.         {
    
27.                 mov eax, cr0
    
28.                         or eax, 10000h
    
29.                         mov cr0, eax
    
30.                         sti
    
31.         }
    
32. }
    
33. 
    
34. void PageProtectOff()
    
35. {
    
36.         //去掉内存保护
    
37.         __asm
    
38.         {
    
39.                 cli
    
40.                         mov eax, cr0
    
41.                         and eax, not 10000h
    
42.                         mov cr0, eax
    
43.         }
    
44. }
    
45. 
    
46. typedef NTSTATUS  (*pNtCreateFile)(
    
47.     OUT PHANDLE  FileHandle,
    
48.     IN ACCESS_MASK  DesiredAccess,
    
49.     IN POBJECT_ATTRIBUTES  ObjectAttributes,
    
50.     OUT PIO_STATUS_BLOCK  IoStatusBlock,
    
51.     IN PLARGE_INTEGER  AllocationSize,
    
52.     IN ULONG  FileAttributes,
    
53.     IN ULONG  ShareAccess,
    
54.     IN ULONG  CreateDisposition,
    
55.     IN ULONG  CreateOptions,
    
56.     IN PVOID  EaBuffer,
    
57.     IN ULONG  EaLength
    
58.     );
    
59. 
    
60. 
    
61. //global
    
62. ULONG g_ntCreateFile;
    
63. ULONG g_kifastcall_hookpoint;
    
64. ULONG g_goto_OrigFunc;
    
65. 
    
66. #pragma PAGEDCODE
    
67. ULONG SearchHookPointer(ULONG StartAddress)
    
68. {
    
69.         ULONG u_index;
    
70.         UCHAR *p = (UCHAR*)StartAddress;
    
71. 
    
72.         for (u_index = 0; u_index < 200; u_index++)
    
73.         {
    
74.                 if (*p == 0x2b &&
    
75.                         *(p+1) == 0xe1 &&
    
76.                         *(p+2) == 0xc1 &&
    
77.                         *(p+3) == 0xe9 &&
    
78.                         *(p+4) == 0x02)
    
79.                 {
    
80.                         return (ULONG)p;
    
81.                 }
    
82.                 p--;
    
83.         }
    
84. 
    
85.         return 0;
    
86. }
    
87. 
    
88. #pragma PAGEDCODE
    
89. void __stdcall FilterKiFastCallEntry(ULONG ServiceTableBase, ULONG FuncIndex)
    
90. {
    
91.         if (ServiceTableBase == (ULONG)KeServiceDescriptorTable.ServiceTableBase)
    
92.         {
    
93.                 if (FuncIndex == 122)
    
94.                 {
    
95.                          KdPrint(("%s\n", (char*)PsGetCurrentProcess() + 0x174));
    
96.                 }
    
97.         }
    
98. }
    
99. 
    
100. __declspec(naked) void NewKiFastCallEntry()
     
101. {
     
102.         __asm
     
103.         {
     
104.                 pushad
     
105.                 pushfd
     
106.        
     
107.                 push eax
     
108.                 push edi
     
109.                 call FilterKiFastCallEntry
     
110. 
     
111.                 popfd
     
112.                 popad
     
113. 
     
114.                 sub esp,ecx
     
115.                 shr ecx,2
     
116.                 jmp g_goto_OrigFunc
     
117.         }
     
118. }
     
119. 
     
120. void UnHookKiFastCallEntry()
     
121. {
     
122.         UCHAR str_origfuncode[5] = {0x2b, 0xe1, 0xc1, 0xe9, 0x02};
     
123.         if (g_kifastcall_hookpoint == 0)
     
124.         {
     
125.                 return;
     
126.         }
     
127. 
     
128.         PageProtectOff();
     
129.         RtlCopyMemory((PVOID)g_kifastcall_hookpoint, str_origfuncode, 5);
     
130.         PageProtectOn();
     
131. }
     
132. 
     
133. void HookKiFastCallEntry(ULONG HookPointer)
     
134. {
     
135.         ULONG u_temp;
     
136.         UCHAR u_jmp_code[5];
     
137. 
     
138.         u_jmp_code[0] = 0xe9;
     
139.        
     
140.         u_temp = (ULONG)NewKiFastCallEntry - HookPointer - 5;
     
141.         *(ULONG*)&u_jmp_code[1] = u_temp;
     
142. 
     
143.         PageProtectOff();
     
144.        
     
145.         RtlCopyMemory((PVOID)HookPointer, u_jmp_code, 5);
     
146. 
     
147.         PageProtectOn();
     
148. 
     
149. }
     
150. 
     
151. NTSTATUS  NewNtCreateFile(
     
152.     OUT PHANDLE  FileHandle,
     
153.     IN ACCESS_MASK  DesiredAccess,
     
154.     IN POBJECT_ATTRIBUTES  ObjectAttributes,
     
155.     OUT PIO_STATUS_BLOCK  IoStatusBlock,
     
156.     IN PLARGE_INTEGER  AllocationSize,
     
157.     IN ULONG  FileAttributes,
     
158.     IN ULONG  ShareAccess,
     
159.     IN ULONG  CreateDisposition,
     
160.     IN ULONG  CreateOptions,
     
161.     IN PVOID  EaBuffer,
     
162.     IN ULONG  EaLength
     
163.     )
     
164. {
     
165.         ULONG u_call_retAddr;
     
166.         __asm
     
167.         {
     
168.                 pushad
     
169.                 mov eax, [ebp + 0x4]
     
170.                 mov u_call_retAddr, eax
     
171.                 popad
     
172.         }
     
173. 
     
174.         KdPrint(("u_call_retAddr: %x\n", u_call_retAddr));
     
175.         g_kifastcall_hookpoint = SearchHookPointer(u_call_retAddr);
     
176.        
     
177.         if (g_kifastcall_hookpoint == 0)
     
178.         {
     
179.                 KdPrint(("search failed!\n"));
     
180.         }
     
181.         else
     
182.         {
     
183.                 KdPrint(("search success %x\n", g_kifastcall_hookpoint));
     
184.         }
     
185. 
     
186.         g_goto_OrigFunc = g_kifastcall_hookpoint + 5;
     
187.         HookKiFastCallEntry(g_kifastcall_hookpoint);
     
188. 
     
189.         PageProtectOff();
     
190.        
     
191.         KeServiceDescriptorTable.ServiceTableBase[37] = (unsigned int)g_ntCreateFile;
     
192.        
     
193.         PageProtectOn();
     
194. 
     
195.         return ((pNtCreateFile)g_ntCreateFile)(
     
196.                 FileHandle,
     
197.                 DesiredAccess,
     
198.                 ObjectAttributes,
     
199.                 IoStatusBlock,
     
200.                 AllocationSize,
     
201.                 FileAttributes,
     
202.                 ShareAccess,
     
203.                 CreateDisposition,
     
204.                 CreateOptions,
     
205.                 EaBuffer,
     
206.                 EaLength);
     
207. }
     
208. 
     
209. 
     
210. 
     
211. 
     
212. #pragma PAGEDCODE
     
213. void SearchKiFastCallEntry()
     
214. {
     
215.        
     
216.         PageProtectOff();
     
217.         g_ntCreateFile = KeServiceDescriptorTable.ServiceTableBase[37];
     
218.         KeServiceDescriptorTable.ServiceTableBase[37] = (unsigned int)NewNtCreateFile;
     
219.         PageProtectOn();
     
220. }
     
221. 
     
222. 
     
223. #pragma PAGEDCODE
     
224. VOID MyDriverUnload(IN PDRIVER_OBJECT pDriverObject)
     
225. {
     
226. 
     
227.         UnHookKiFastCallEntry();
     
228.         KdPrint(("DriverEntry unLoading...\n"));
     
229. 
     
230. }
     
231. 
     
232. 
     
233. 
     
234. #pragma INITCODE
     
235. NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject, IN PUNICODE_STRING RegistryPath)
     
236. {
     
237.         NTSTATUS status = STATUS_SUCCESS;
     
238. 
     
239.         SearchKiFastCallEntry();
     
240. 
     
241.         pDriverObject->DriverUnload = MyDriverUnload;
     
242.         return status;
     
243. }

复制代码