能力值：
( LV12，RANK：1010 )
11 楼
引用:
但是通过我跟踪堆栈调用,发现要经过很多次KeWaitForSingleObject调用，才会进入
因为楼主没有主动触发,所以要多次.
以下代码是主动触发,马上就能定位了啊
VOID
Get_MmLoadSystemImage_addr(
)
/*++
{
NTSTATUS status ;
UNICODE_STRING uFileName;
STRING ntNameString;
CCHAR ntNameFile[128] =
"\\??\\C:\\" ;
// 得到 KeWaitForSingleObject 原始地址
g_KeWaitForSingleObject_dwAddr = GetExportFuncOrigAddr(
"KeWaitForSingleObject" ,
FALSE ) ;
dprintf(
"KeWaitForSingleObject:0x%08lX \n" , g_KeWaitForSingleObject_dwAddr ) ;
if ( 0 == g_KeWaitForSingleObject_dwAddr ) {
g_KeWaitForSingleObject_dwAddr = (
ULONG ) GetNativeFunctionBaseAddress( L
"KeWaitForSingleObject" ) ;
}
// 得到 RtlImageNtHeader 原始地址
g_RtlImageNtHeader_addr = GetExportFuncOrigAddr(
"RtlImageNtHeader" ,
FALSE ) ;
dprintf(
"RtlImageNtHeader:0x%08lX \n" , g_RtlImageNtHeader_addr ) ;
if ( 0 == g_RtlImageNtHeader_addr ) {
g_RtlImageNtHeader_addr = (
ULONG ) GetNativeFunctionBaseAddress( L
"RtlImageNtHeader" ) ;
}
// 今天才发现,不需要释放任何驱动,随便给ZwSetSystemInformation乱传一个路径,都会进入到
// MmLoadSystemImage函数中,这就够了 by sudami 26-12-2008
// GenerateRandomStrings(5) ; // 产生随机名
// if ( NULL != szTmpName )
// {
// sprintf( ntNameFile+strlen(ntNameFile), "%s.sys", szTmpName );
// RtlInitAnsiString( &ntNameString, ntNameFile);
// RtlAnsiStringToUnicodeString( &uFileName, &ntNameString, TRUE );
//
// // 释放测试驱动到C盘根目录
// status = PutFile( uFileName.Buffer, Test_sys_data, sizeof(Test_sys_data) ) ;
//
// RtlFreeUnicodeString(&uFileName);
//
// } else {
// sprintf( ntNameFile+strlen(ntNameFile), "%s.sys", szTmpName );
// RtlInitAnsiString( &ntNameString, ntNameFile);
// RtlAnsiStringToUnicodeString( &uFileName, &ntNameString, TRUE );
//
// wcscpy( g_wszName, uFileName.Buffer ) ;
//
// RtlFreeUnicodeString(&uFileName);
//
// status = PutFile( g_wszName, Test_sys_data, sizeof(Test_sys_data) ) ;
// }
//
// if ( STATUS_SUCCESS != status )
// {
// dprintf( "PutFile(), Failed!\n" ) ;
// return ;
// }
/*++
g_ntoskrnl_addr = g_ntoskrnl_info.ntoskrnl_addr ;
g_ntoskrnl_size = g_ntoskrnl_info.ntoskrnl_size ;
if ( !MmIsAddressValid( (
PVOID )g_KeWaitForSingleObject_dwAddr )
|| g_KeWaitForSingleObject_dwAddr < g_ntoskrnl_addr )
{
dprintf(
"g_KeWaitForSingleObject_dwAddr, INVALID,Failed!\n" ) ;
return ;
}
if ( !HookCode95( (
PVOID )g_KeWaitForSingleObject_dwAddr, (
PVOID )fake_KeWaitForSingleObject, InlineHookPre1) )
{
// 前5字节JMP.
dprintf(
"HOOK KeWaitForSingleObject, Failed!\n" ) ;
return ;
}
g_tmpThread_for_KeWaitForSingleObject = (
ULONG )KeGetCurrentThread();
load_sysfile( g_wszName ) ;
g_tmpThread_for_KeWaitForSingleObject = 0 ;
UnhookCode95( fake_KeWaitForSingleObject ) ;
}
能力值：
( LV12，RANK：1010 )
12 楼
VOID /*++ PULONG PEBP ;UCHAR *pOpcode;__asm {pushfd pushad if ( g_tmpThread_for_KeWaitForSingleObject != (ULONG )KeGetCurrentThread() ) {goto _over_for_KeWaitForSingleObject ;__asm // int 3 mov PEBP, ebp mov ebx , PEBPmov ebx , [ebx ] ; 回溯1次到 call MmLoadSystemImage 空间cmp g_bIsW2k, 1jnz _xp_mov ebx , [ebx ] ; WIN2K 要多回溯一次mov ebx , [ebx +4] ; ebp +4 --> ret Addrsub ebx , 5 ; ret -5 --> 由ret Addr到Call MmLoadSystemImagemov edi , ebx ; edi 保存Call MmLoadSystemImage处的地址/*++ cmp g_ntoskrnl_addr, 0jz _Skip2Check_cmp g_ntoskrnl_size, 0jz _Skip2Check_mov ecx , g_ntoskrnl_addrcmp ebx , ecx jbe short _over_for_KeWaitForSingleObjectmov edx , g_ntoskrnl_sizelea esi , [edx +ecx ]cmp ebx , esi jnb short _over_for_KeWaitForSingleObjectlea edx , [ebx +30h]cmp edx , ecx jbe short _over_for_KeWaitForSingleObjectcmp edx , esi jnb short _over_for_KeWaitForSingleObject// 是在内核地址范围内,进一步验证 add ebx , 5 ; 到达 call nt!MmLoadSystemImage 的下一条指令 xor ecx , ecx ; ecx == 每次调用SizeOfCode得到的指令长度// cmp BYTE ptr [ecx+ebx], 0E8h // 这样找太危险了.刚好碰到一种情况,数据是E8,而不是指令 // 从而导致地址不可读,BSOD了.这里还是应该带一个反汇编引擎 push ecx ; -->保存ecxmov pOpcode, 0lea edx , pOpcode ; UCHAR *pOpcode; [OUT] 指令内容 lea ecx , [ecx +ebx ] ; UCHAR *cPtr ; [IN] 当前指令地址call SizeOfCode ; Length = SizeOfCode(cPtr, &pOpcode); // fastcall类型 // 此时ecx的值变成0了.故之前需要保存下 pop ecx ; -->恢复ecxadd ecx , eax ; ecx += Lengthcmp eax ,0 jnz __dddd__ inc ecx ; 若反汇编引擎计算的长度为0,则地址也要往后累加jmp _next_mov esi , [pOpcode] ; esi得到当前指令的地址cmp BYTE ptr [esi ], 0E8h ; 是否为CALL指令jnz short _next_ /*++ lea edx , [esi +1] ; esi == call RtlImageNtHeader 处的地址mov eax , [edx ] ; eax == offsetlea eax , [esi +eax +5]cmp eax , g_RtlImageNtHeader_addrjz _ok_cmp ecx , 30hjb short _loop_jmp _over_for_KeWaitForSingleObjectlea ecx , [edi +1] ; edi 保存Call MmLoadSystemImage处的地址mov edx , [ecx ]lea eax , [edx +edi +5]mov g_MmLoadSystemImage_addr, eax ; OK! Well Done.popad // VOID 类型的申明,非naked.所以编译器会自动生成一些垃圾代码 popfd // 这里的pop是为了平衡堆栈.必须的 pop edi pop esi pop ebx // pop ecx // 若只有一个局部变量,编译器可能会:push ecx,而不是sub esp,4 // 故调用wy的引擎,在fake函数中若用到局部变量,最好>=2 counts add esp , 8 // 清掉局部变量 // pop ebp // push xxxx ret
能力值：
( LV12，RANK：1010 )
14 楼
BOOL WCHAR * szPathNULL ;BOOL bSuccess = FALSE ;if ( NULL == szPath ) {return 0 ;// 2次调用,得到csrss.exe的EPROCESS "CSRSS.EXE" , &proc );if ( !NT_SUCCESS(status) )"csrss.exe" , &proc );if ( !NT_SUCCESS(status) ) return 0 ;if ( NULL == GregsImage.ModuleName.Buffer )"load_sysfile() ExAllocatePool() Failed\n" ) ;return 0 ;// RtlInitUnicodeString( &(GregsImage.ModuleName), szPath ); // 附着到此进程 sizeof (SYSTEM_LOAD_AND_CALL_IMAGE) ) ;// Detach if ( !NT_SUCCESS( status ) ) "load_sysfile() Failed: 0x%08lx\n" , status ) ;return 0 ;"load_sysfile() ,OK!!!\n" ) ;return 1 ;
能力值：
( LV13，RANK：290 )
22 楼
驱动层的HOOK,, 留贴备查,,,
以下代码是主动触发,马上就能定位了啊
