ObjectHook

forwe

1. #pragma once
   
2. 
   
3. typedef struct _OBJECT_DUMP_CONTROL {
   
4.     PVOID Stream;
   
5.     ULONG Detail;
   
6. } OB_DUMP_CONTROL, *POB_DUMP_CONTROL;
   
7. 
   
8. typedef VOID (*OB_DUMP_METHOD)(
   
9.                                IN PVOID Object,
   
10.                                IN POB_DUMP_CONTROL Control OPTIONAL
    
11.                                );
    
12. 
    
13. typedef enum _OB_OPEN_REASON {
    
14.     ObCreateHandle,
    
15.     ObOpenHandle,
    
16.     ObDuplicateHandle,
    
17.     ObInheritHandle,
    
18.     ObMaxOpenReason
    
19. } OB_OPEN_REASON;
    
20. 
    
21. 
    
22. typedef NTSTATUS (*OB_OPEN_METHOD)(
    
23.                                    IN OB_OPEN_REASON OpenReason,
    
24.                                    IN PEPROCESS Process OPTIONAL,
    
25.                                    IN PVOID Object,
    
26.                                    IN ACCESS_MASK GrantedAccess,
    
27.                                    IN ULONG HandleCount
    
28.                                    );
    
29. 
    
30. typedef VOID (*OB_CLOSE_METHOD)(
    
31.                                 IN PEPROCESS Process OPTIONAL,
    
32.                                 IN PVOID Object,
    
33.                                 IN ACCESS_MASK GrantedAccess,
    
34.                                 IN ULONG_PTR ProcessHandleCount,
    
35.                                 IN ULONG_PTR SystemHandleCount
    
36.                                 );
    
37. 
    
38. typedef VOID (*OB_DELETE_METHOD)(
    
39.                                  IN  PVOID   Object
    
40.                                  );
    
41. 
    
42. typedef NTSTATUS (*OB_SECURITY_METHOD)(
    
43.                                        IN PVOID Object,
    
44.                                        IN SECURITY_OPERATION_CODE OperationCode,
    
45.                                        IN PSECURITY_INFORMATION SecurityInformation,
    
46.                                        IN OUT PSECURITY_DESCRIPTOR SecurityDescriptor,
    
47.                                        IN OUT PULONG CapturedLength,
    
48.                                        IN OUT PSECURITY_DESCRIPTOR *ObjectsSecurityDescriptor,
    
49.                                        IN POOL_TYPE PoolType,
    
50.                                        IN PGENERIC_MAPPING GenericMapping,
    
51.                                        IN PVOID unknown
    
52.                                        );
    
53. 
    
54. typedef NTSTATUS (*OB_PARSE_METHOD)(
    
55.                                     IN PVOID ParseObject,
    
56.                                     IN PVOID ObjectType,
    
57.                                     IN OUT PACCESS_STATE AccessState,
    
58.                                     IN KPROCESSOR_MODE AccessMode,
    
59.                                     IN ULONG Attributes,
    
60.                                     IN OUT PUNICODE_STRING CompleteName,
    
61.                                     IN OUT PUNICODE_STRING RemainingName,
    
62.                                     IN OUT PVOID Context OPTIONAL,
    
63.                                     IN PSECURITY_QUALITY_OF_SERVICE SecurityQos OPTIONAL,
    
64.                                     OUT PVOID *Object
    
65.                                     );
    
66. 
    
67. typedef BOOLEAN (*OB_OKAYTOCLOSE_METHOD)(
    
68.     IN PEPROCESS Process OPTIONAL,
    
69.     IN PVOID Object,
    
70.     IN HANDLE Handle,
    
71.     IN KPROCESSOR_MODE PreviousMode
    
72.     );
    
73. 
    
74. typedef NTSTATUS (*OB_QUERYNAME_METHOD)(
    
75.                                         IN PVOID Object,
    
76.                                         IN BOOLEAN HasObjectName,
    
77.                                         OUT POBJECT_NAME_INFORMATION ObjectNameInfo,
    
78.                                         IN ULONG Length,
    
79.                                         OUT PULONG ReturnLength,
    
80.                                         IN KPROCESSOR_MODE Mode
    
81.                                         );
    
82. 
    
83. typedef struct _OBJECT_TYPE_INITIALIZER {
    
84.     USHORT Length;
    
85.     BOOLEAN UseDefaultObject;
    
86.     BOOLEAN CaseInsensitive;
    
87.     ULONG InvalidAttributes;
    
88.     GENERIC_MAPPING GenericMapping;
    
89.     ULONG ValidAccessMask;
    
90.     BOOLEAN SecurityRequired;
    
91.     BOOLEAN MaintainHandleCount;
    
92.     BOOLEAN MaintainTypeList;
    
93.     POOL_TYPE PoolType;
    
94.     ULONG DefaultPagedPoolCharge;
    
95.     ULONG DefaultNonPagedPoolCharge;
    
96.     OB_DUMP_METHOD DumpProcedure;
    
97.     OB_OPEN_METHOD OpenProcedure;
    
98.     OB_CLOSE_METHOD CloseProcedure;
    
99.     OB_DELETE_METHOD DeleteProcedure;
    
100.     OB_PARSE_METHOD ParseProcedure;
     
101.     OB_SECURITY_METHOD SecurityProcedure;
     
102.     OB_QUERYNAME_METHOD QueryNameProcedure;
     
103.     OB_OKAYTOCLOSE_METHOD OkayToCloseProcedure;
     
104. } OBJECT_TYPE_INITIALIZER, *POBJECT_TYPE_INITIALIZER;
     
105. 
     
106. #define OBJECT_LOCK_COUNT 4
     
107. 
     
108. typedef struct _OBJECT_TYPE {
     
109.     ERESOURCE Mutex;
     
110.     LIST_ENTRY TypeList;
     
111.     UNICODE_STRING Name;            // Copy from object header for convenience
     
112.     PVOID DefaultObject;
     
113.     ULONG Index;
     
114.     ULONG TotalNumberOfObjects;
     
115.     ULONG TotalNumberOfHandles;
     
116.     ULONG HighWaterNumberOfObjects;
     
117.     ULONG HighWaterNumberOfHandles;
     
118.     OBJECT_TYPE_INITIALIZER TypeInfo;
     
119. #ifdef POOL_TAGGING
     
120.     ULONG Key;
     
121. #endif //POOL_TAGGING
     
122.     ERESOURCE ObjectLocks[ OBJECT_LOCK_COUNT ];
     
123. } OBJECT_TYPE, *POBJECT_TYPE;
     
124. 
     
125. 
     
126. VOID HandleObjectHook(BOOLEAN bHook);

复制代码

1. #include "StdAfx.h"
   
2. #include "ObjectHook.h"
   
3. 
   
4. 
   
5. OB_SECURITY_METHOD g_OB_SECURITY_METHOD = NULL;
   
6. 
   
7. extern "C" NTKERNELAPI
   
8. UCHAR *
   
9. PsGetProcessImageFileName(
   
10.                           __in PEPROCESS Process
    
11.                           );
    
12. 
    
13. NTSTATUS Hook_OB_SECURITY_METHOD(
    
14.                                IN PVOID Object,
    
15.                                IN SECURITY_OPERATION_CODE OperationCode,
    
16.                                IN PSECURITY_INFORMATION SecurityInformation,
    
17.                                IN OUT PSECURITY_DESCRIPTOR SecurityDescriptor,
    
18.                                IN OUT PULONG CapturedLength,
    
19.                                IN OUT PSECURITY_DESCRIPTOR *ObjectsSecurityDescriptor,
    
20.                                IN POOL_TYPE PoolType,
    
21.                                IN PGENERIC_MAPPING GenericMapping,
    
22.                                IN PVOID unknown
    
23.                                )
    
24. {
    
25.     UCHAR* szProcName = PsGetProcessImageFileName((PEPROCESS)Object);
    
26. 
    
27.     DbgPrint("EPROCESS Addr: 0x08%x\tObject Name: %s\n", IoGetCurrentProcess(), (char*)szProcName);
    
28. 
    
29.     if (strcmp("calc.exe", (char*)szProcName) == 0)
    
30.     {
    
31.         return STATUS_INVALID_PARAMETER;
    
32.     }
    
33. 
    
34.     return g_OB_SECURITY_METHOD(Object,
    
35.                                 OperationCode,
    
36.                                 SecurityInformation,
    
37.                                 SecurityDescriptor,
    
38.                                 CapturedLength,
    
39.                                 ObjectsSecurityDescriptor,
    
40.                                 PoolType,
    
41.                                 GenericMapping,
    
42.                                 unknown);
    
43. }
    
44. 
    
45. 
    
46. VOID HandleObjectHook(BOOLEAN bHook)
    
47. {
    
48.     OBJECT_TYPE_INITIALIZER* ptypeinfo = &((*PsProcessType)->TypeInfo);
    
49. 
    
50.     if (bHook)
    
51.     {
    
52.         g_OB_SECURITY_METHOD = ptypeinfo->SecurityProcedure;
    
53.         ptypeinfo->SecurityProcedure = Hook_OB_SECURITY_METHOD;
    
54.     }
    
55.     else
    
56.     {
    
57.         ptypeinfo->SecurityProcedure = g_OB_SECURITY_METHOD;
    
58.     }
    
59.    
    
60. }

复制代码