-
-
[原创]YY-一种高可靠性Hook的思路
-
2014-5-9 01:16
-
看了这个众神出没的帖子：
《那些年搞驱动的那些坑_欢迎补充 》
http://bbs.pediy.com/showthread.php?p=1275930#post1275930
里面提到一种比较纠结的hook情况：
hook时某个线程的EIP正好指向hook位置的中间
这种情况下，EIP恢复后会指向hook的位置的中间，结果是指令被截断后进行解释，很可能会产生异常。
以下是个人针对这种情况的一点思路，不喜勿喷
：
1.最简单的方法是避免hook的位置原先存在多条指令。我们可以尝试替换掉一条长度>=5的指令，但是这种方法局限性很大，将会严重限制hook的位置。
2.既然如此，就不能想着尽量避免这种情况了，得正面应对，最直接的解决方案是暂停掉整个系统，检查所有的线程的eip…………太复杂太扯淡。
3.之后又想到另一种方案，这也是本文的重点：
我们能通过MDL保证hook位置可写，但是是否能截获这种情况，并作出处理避免悲剧？
A.最简单的截获方法是在异常处理阶段，但是仔细想想这也是不可行的：如果eip停在hook的位置中间，恢复执行后不一定立刻产生异常，代码说不定还会跑很远，我们无法简单地预测之后的行为，并且在这一过程中很可能已经产生了一些不可逆转的错误。
B.那么接下来的思路就是直接截获了，可以采取类似于调试器下软断点的方法，将hook位置所在代码页设置成其NX位（别的位或许也能实现），然后在异常处理例程中作出处理。
C.既然说道断点，硬断点理论上也能实现B中的思路。
不过要实现更高的可靠性最终做的也不是很简单，得根据hook位置的情况采取相应的处理，比如恢复已经执行的指令影响的寄存器等，这里也只是一个思路，没有代码（至少现在没有）。
欢迎讨论～
《那些年搞驱动的那些坑_欢迎补充 》
http://bbs.pediy.com/showthread.php?p=1275930#post1275930
里面提到一种比较纠结的hook情况：
hook时某个线程的EIP正好指向hook位置的中间
最初由 aait发布 查看帖子
你hold住其他 U的时候，总要放开的吧。你一放开，系统里面等待排队的线程有很多个，如果其中某一个线程排队等待恢复的EIP正好是你hook的5个字节的第3个字节怎么办？
这种情况下，EIP恢复后会指向hook的位置的中间，结果是指令被截断后进行解释，很可能会产生异常。
以下是个人针对这种情况的一点思路，不喜勿喷
：1.最简单的方法是避免hook的位置原先存在多条指令。我们可以尝试替换掉一条长度>=5的指令，但是这种方法局限性很大，将会严重限制hook的位置。
2.既然如此，就不能想着尽量避免这种情况了，得正面应对，最直接的解决方案是暂停掉整个系统，检查所有的线程的eip…………太复杂太扯淡。
3.之后又想到另一种方案，这也是本文的重点：
我们能通过MDL保证hook位置可写，但是是否能截获这种情况，并作出处理避免悲剧？
A.最简单的截获方法是在异常处理阶段，但是仔细想想这也是不可行的：如果eip停在hook的位置中间，恢复执行后不一定立刻产生异常，代码说不定还会跑很远，我们无法简单地预测之后的行为，并且在这一过程中很可能已经产生了一些不可逆转的错误。
B.那么接下来的思路就是直接截获了，可以采取类似于调试器下软断点的方法，将hook位置所在代码页设置成其NX位（别的位或许也能实现），然后在异常处理例程中作出处理。
C.既然说道断点，硬断点理论上也能实现B中的思路。
不过要实现更高的可靠性最终做的也不是很简单，得根据hook位置的情况采取相应的处理，比如恢复已经执行的指令影响的寄存器等，这里也只是一个思路，没有代码（至少现在没有）。
欢迎讨论～
[CTF入门培训]顶尖高校博士及硕士团队亲授《30小时教你玩转CTF》，视频+靶场+题目！助力进入CTF世界
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
咱也YY下,
不知道有没有人认为这样可行. 我们给全部cpu发送APC消息, 据说系统调用apc的时间是在 KifastCall调用完函数后,返回到应用层时, 此时的代码eip绝对不在我们要hook的代码段中. 进入我们的apc函数中,sleep也好,自旋锁也好,先将cpu挂着, 然后就用这种方式,将除本cpu外的cpu全部挂着,最后hook,  貌似挺不错. 上文纯属灵光一闪...有人会反驳说,这样和"给各个cpu挂DPC有啥不同",个人认为,dpc属于强制中断当前cpu, 使之执行dpc例程,eip当然不会被确定,当然会几率蓝屏~ |
|
|
|
|
|
 貌似咱说的,咱也很多不确定是不是这样,如果说错,概不负责~ |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
为何到目前为止木有人指点一下俺提出的这种方法本身～ |
|
|
|
|
|
|
