ShadowSSDT

forwe

1. #pragma once
   
2. #include "common.h"
   
3. 
   
4. typedef struct _SYSTEM_SERVICE_TABLE
   
5. {
   
6.         PULONG        ServiceTable;        // array of entry points
   
7.         PDWORD        CounterTable;        // array of usage counters
   
8.         DWORD        ServiceLimit;        // number of table entries
   
9.         PBYTE        ArgumentTable;        // array of byte counts
   
10. }SYSTEM_SERVICE_TABLE, *PSYSTEM_SERVICE_TABLE;
    
11. 
    
12. typedef struct _ShadowServiceDescriptorTable
    
13. {
    
14.         SYSTEM_SERVICE_TABLE ntoskrnl;        // ntoskrnl.exe ( native api )
    
15.         SYSTEM_SERVICE_TABLE win32k;        // win32k.sys (gdi/user support)
    
16.         SYSTEM_SERVICE_TABLE Table3;        // not used
    
17.         SYSTEM_SERVICE_TABLE Table4;        // not used
    
18. }ShadowSSDT, *PShadowServiceDescriptorTable;
    
19. 
    
20. 
    
21. 
    
22. 
    
23. extern PVOID GetShadowSSDTAddr();
    
24. 
    
25. extern VOID ShadowSSDTHookTest();

复制代码

1. #include "StdAfx.h"
   
2. 
   
3. #include "ShadowSSDT.h"
   
4. #include "common.h"
   
5. //#include <ntifs.h>
   
6. //#pragma comment(lib, "ntstrsafe.lib")
   
7. 
   
8. extern "C" PVOID KeServiceDescriptorTable;
   
9. 
   
10. PVOID GetShadowSSDTAddr()
    
11. {
    
12.     PUCHAR pKeAddSST = (PUCHAR)KeAddSystemServiceTable;
    
13. 
    
14.     for (int i = 0; i < 4096; i++, pKeAddSST++)
    
15.     {
    
16.         if (MmIsAddressValid((PVOID)(*(ULONG*)pKeAddSST)) && MmIsAddressValid((PUCHAR)(*(ULONG*)pKeAddSST) + sizeof(ShadowSSDT) - 1))
    
17.         {
    
18.                         PVOID pShadowSSDTAddr = (PVOID)(*(ULONG*)pKeAddSST);
    
19.             __try
    
20.             {
    
21.                 if ((sizeof(ShadowSSDT) == RtlCompareMemory(pShadowSSDTAddr, KeServiceDescriptorTable, sizeof(ShadowSSDT))) &&
    
22.                     (pShadowSSDTAddr != KeServiceDescriptorTable))
    
23.                 {
    
24.                     //DbgPrint("Shadow SSDT Addr: 0x%8x\n", pShadowSSDTAddr);
    
25.                     return pShadowSSDTAddr;
    
26.                 }
    
27.             }
    
28.             __except(EXCEPTION_EXECUTE_HANDLER)
    
29.             {
    
30.                 return NULL;
    
31.             }
    
32.         }
    
33.     }
    
34. 
    
35.     return NULL;
    
36. }
    
37. 
    
38. 
    
39. 
    
40. 
    
41. PVOID GetInfoTable(SYSTEM_INFORMATION_CLASS sic)
    
42. {
    
43.     ULONG uSize = 0x4000;
    
44.     PVOID pPtr = NULL;
    
45.     NTSTATUS status;
    
46. 
    
47.     do
    
48.     {
    
49.         pPtr = ExAllocatePool(PagedPool, uSize);
    
50.         if (NULL != pPtr)
    
51.         {
    
52.             memset(pPtr, 0, uSize);
    
53.             status = ZwQuerySystemInformation(sic, pPtr, uSize, NULL);
    
54.         }
    
55.         else
    
56.         {
    
57.             return NULL;
    
58.         }
    
59. 
    
60.         if (status == STATUS_INFO_LENGTH_MISMATCH)
    
61.         {
    
62.             ExFreePool(pPtr);
    
63.             uSize = uSize * 2;
    
64.         }
    
65.     } while (status == STATUS_INFO_LENGTH_MISMATCH);
    
66. 
    
67.     if (status == STATUS_SUCCESS)
    
68.     {
    
69.         return pPtr;
    
70.     }
    
71. 
    
72.     ExFreePool(pPtr);
    
73. 
    
74.     return NULL;
    
75. }
    
76. 
    
77. 
    
78. HANDLE GetCsrPid()
    
79. {
    
80.     HANDLE                          hProcess = NULL;
    
81.     HANDLE                          hObject = NULL;
    
82.     HANDLE                          CsrId = (HANDLE)0;
    
83.     OBJECT_ATTRIBUTES               oa;
    
84.     CLIENT_ID                       cid;
    
85.     UCHAR                           szBuff[0x100];
    
86.     POBJECT_NAME_INFORMATION        ObjName = (POBJECT_NAME_INFORMATION)&szBuff;
    
87.     PSYSTEM_HANDLE_INFORMATION_EX   pSysHandleInfo;
    
88.     ULONG                           uIndex;
    
89. 
    
90.     pSysHandleInfo = (PSYSTEM_HANDLE_INFORMATION_EX)GetInfoTable(SystemHandleInformation);
    
91. 
    
92.     if (!pSysHandleInfo)
    
93.     {
    
94.         return CsrId;
    
95.     }
    
96. 
    
97.     for (uIndex = 0; uIndex < pSysHandleInfo->NumberOfHandles; uIndex++)
    
98.     {
    
99.         if (pSysHandleInfo->Information[uIndex].ObjectTypeNumber == 21) //Port object
    
100.         {
     
101.             InitializeObjectAttributes(&oa, NULL, OBJ_KERNEL_HANDLE, NULL, NULL);
     
102. 
     
103.             cid.UniqueProcess = (HANDLE)pSysHandleInfo->Information[uIndex].ProcessId;
     
104.             cid.UniqueThread  = 0;
     
105. 
     
106.             if (NT_SUCCESS(NtOpenProcess(&hProcess, PROCESS_DUP_HANDLE, &oa, &cid)))
     
107.             {
     
108.                 if (NT_SUCCESS(ZwDuplicateObject(hProcess,
     
109.                                                 (HANDLE)pSysHandleInfo->Information[uIndex].Handle,
     
110.                                                 NtCurrentProcess(),
     
111.                                                 &hObject,
     
112.                                                 0, 0, DUPLICATE_SAME_ACCESS)))
     
113.                 {
     
114.                     if (NT_SUCCESS(ZwQueryObject(hObject,
     
115.                                                 ObjectNameInformation,
     
116.                                                 ObjName,
     
117.                                                 0x100, NULL)))
     
118.                     {
     
119.                         if (ObjName->Name.Buffer &&
     
120.                             !wcsncmp(L"\\Windows\\ApiPort", ObjName->Name.Buffer, 20))
     
121.                         {
     
122.                             CsrId = (HANDLE)pSysHandleInfo->Information[uIndex].ProcessId;
     
123.                             break;
     
124.                         }
     
125.                     }
     
126. 
     
127.                     ZwClose(hObject);
     
128.                 }
     
129. 
     
130.                 ZwClose(hProcess);
     
131.             }
     
132.         }
     
133.     }
     
134. 
     
135.     if (NULL != hObject)
     
136.     {
     
137.         ZwClose(hObject);
     
138.     }
     
139. 
     
140.     if (NULL != hProcess)
     
141.     {
     
142.         ZwClose(hProcess);
     
143.     }
     
144. 
     
145.     ExFreePool(pSysHandleInfo);
     
146. 
     
147.     return CsrId;
     
148. 
     
149. }
     
150. 
     
151. 
     
152. VOID ShadowSSDTHookTest()
     
153. {
     
154.         //附加csrss.exe
     
155.         //..查找csrss.exe
     
156. 
     
157.     NTSTATUS status;
     
158.     PEPROCESS crsPEProc;
     
159. 
     
160.     status = PsLookupProcessByProcessId(GetCsrPid(), &crsPEProc);
     
161. 
     
162.     if (!NT_SUCCESS(status))
     
163.     {
     
164.         return;
     
165.     }
     
166.    
     
167.     KAPC_STATE kapc_state;
     
168. 
     
169.     KeStackAttachProcess(crsPEProc, &kapc_state);
     
170. 
     
171.     //HOOK  Shadow SSDT
     
172. 
     
173.     KeUnstackDetachProcess(&kapc_state);
     
174. }

复制代码