-
-
[原创]一份简单的内核通用HOOK 带使用例子(带简单SSDT恢复)~
-
发表于: 2013-6-24 14:06
-
sources文件说明(新手向):
TARGETNAME = ******//此处填写要生成的驱动的名字.不包含".sys"字样
DRIVERTYPE = FS
TARGETTYPE = DRIVER
SOURCES = xde.c hook.c ***.c//填写你的C文件
文件解析:
第一部分:
xde.c
xde.h
xdetbl.c
这三个是xde汇编引擎的
第二部分:
hook.h
hook.c
通用HOOK的定义及实现
定义了结构体:HookYou
结构如下:
typedef struct _HookYou
{
char JmpCode[20];//跳转用,直接call
char OldCode[20];//恢复hook用.保存原本的代码
ULONG HookLen; //恢复hook用.保存代码长度
ULONG IsDobeHook; //是否多重HOOK
PULONG RealHookStartAddress;//真正的HOOK首地址
}HookYou,*PHookYou;
定义并实现了函数:
/*判断系统版本*/
NTSTATUS WindIsVer(OSVERSIONINFOW os);
/********************************************/
/*HookFunAddress为被HOOK函数地址 */
/*FakFunAddress被HOOK函数的跳转地址 */
/*传入一个HookYou类型结构体的指针.该结构体将保存HOOK的数据 */
/*************************************************/
NTSTATUS HookThis(IN ULONG HookFunAddress,IN ULONG FakFunAddress,OUT PHookYou HookFun);
/*************************************************************/
/* 建议在使用HookYou之前调用此例程将其初始化 */
/* 值得注意的是.该函数并不是创建结构体的函数.而仅仅是初始化 */
/*************************************************************/
NTSTATUS InitHookYou(PHookYou HookFun);
/********************************************************/
/* 卸载Hook,传入HookYou结构体的指针,HookFunAddress可为NULL */
/* 但如果HookFun.RealHookStartAddress为NULL,则必须指定HookFunAddress */
/************************************************************/
NTSTATUS UNHookForHookYou(IN PHookYou HookFun,IN ULONG HookFunAddress);
/**************************************/
/* 传入TRUE则解锁CR0 否则加锁 */
/***********************************/
NTSTATUS CR0Lock(ULONG ui);
用法很简单.具体实现请看代码~
inline.h
inline.c
是个例子,这里HOOK了NTOpenProcess函数.处理函数则只是简单的输出了打开方和被打开方
压缩包中提供的sources文件并不能直接用.请自己编辑下
编辑为如下内容即可直接使用了
TARGETNAME = test_driver
DRIVERTYPE = FS
TARGETTYPE = DRIVER
SOURCES = xde.c hook.c inline.c
其中有一小段是恢复SSDT的NtOpenProcess
灰常简单...会被笑.不过还是发了.毕竟对PE不熟悉..另求个师父
知道写的不好.另外其中对多重HOOK的判定似乎不生效.发出来1是共享,2是希望大神给挑挑错
TARGETNAME = ******//此处填写要生成的驱动的名字.不包含".sys"字样
DRIVERTYPE = FS
TARGETTYPE = DRIVER
SOURCES = xde.c hook.c ***.c//填写你的C文件
文件解析:
第一部分:
xde.c
xde.h
xdetbl.c
这三个是xde汇编引擎的
第二部分:
hook.h
hook.c
通用HOOK的定义及实现
定义了结构体:HookYou
结构如下:
typedef struct _HookYou
{
char JmpCode[20];//跳转用,直接call
char OldCode[20];//恢复hook用.保存原本的代码
ULONG HookLen; //恢复hook用.保存代码长度
ULONG IsDobeHook; //是否多重HOOK
PULONG RealHookStartAddress;//真正的HOOK首地址
}HookYou,*PHookYou;
定义并实现了函数:
/*判断系统版本*/
NTSTATUS WindIsVer(OSVERSIONINFOW os);
/********************************************/
/*HookFunAddress为被HOOK函数地址 */
/*FakFunAddress被HOOK函数的跳转地址 */
/*传入一个HookYou类型结构体的指针.该结构体将保存HOOK的数据 */
/*************************************************/
NTSTATUS HookThis(IN ULONG HookFunAddress,IN ULONG FakFunAddress,OUT PHookYou HookFun);
/*************************************************************/
/* 建议在使用HookYou之前调用此例程将其初始化 */
/* 值得注意的是.该函数并不是创建结构体的函数.而仅仅是初始化 */
/*************************************************************/
NTSTATUS InitHookYou(PHookYou HookFun);
/********************************************************/
/* 卸载Hook,传入HookYou结构体的指针,HookFunAddress可为NULL */
/* 但如果HookFun.RealHookStartAddress为NULL,则必须指定HookFunAddress */
/************************************************************/
NTSTATUS UNHookForHookYou(IN PHookYou HookFun,IN ULONG HookFunAddress);
/**************************************/
/* 传入TRUE则解锁CR0 否则加锁 */
/***********************************/
NTSTATUS CR0Lock(ULONG ui);
用法很简单.具体实现请看代码~
inline.h
inline.c
是个例子,这里HOOK了NTOpenProcess函数.处理函数则只是简单的输出了打开方和被打开方
压缩包中提供的sources文件并不能直接用.请自己编辑下
编辑为如下内容即可直接使用了
TARGETNAME = test_driver
DRIVERTYPE = FS
TARGETTYPE = DRIVER
SOURCES = xde.c hook.c inline.c
其中有一小段是恢复SSDT的NtOpenProcess
灰常简单...会被笑.不过还是发了.毕竟对PE不熟悉..另求个师父
知道写的不好.另外其中对多重HOOK的判定似乎不生效.发出来1是共享,2是希望大神给挑挑错
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
就是多重hook问题嘛.最后我说了的..不知道原因就是不成功..所以求解答呢还在~
|
|
|
|
|
|
产品发布的话 这两种都不可取..
现在问题是..我代码中有判断E8 E9 但是不生效.很奇怪
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
有判断E8 E9 但是不生效...求问啥原因呢..能否帮忙改下
|
|
|
我手头现在没有调试环境……没有办法帮你调试
没有看源码，但是我可以给你大概分析以下 可以改变函数流程的指令太多了 有短跳 可以 push ret 甚至可以jnz jz 单独判断e9 e8是不够的 而且你的处理也是有问题的……简单的向后退推5字节hook很有可能造成指令屑…… 这些都是会产生蓝屏的原因 当然也有可能是一些低级错误……这个我就不讲了……自查吧
|
|
|
额 是这样
我一开始的想法是扫描前8字节 存在e8 e9即在该处使用汇编引擎汇编一下.得到指令长度后.向后推 但是现在判断E8 E9都不成功 PS:目前只考虑e8 e9的情况 因为只是在学习的过程
|
|
|
|
|
|
条件不成立.所以没走到对应的代码里面
 条件就是 if (((char*)HookFunAddress)[0] == 0xe8 || ((char*)HookFunAddress)[0] == 0xe9) { HookFun->IsDobeHook = TRUE; }else { KdPrint(("HookFunAddress :0x%x",((char*)HookFunAddress)[0])); }
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
