-
-
原创 普及X64 ssdtshadow inline HOOK
-
发表于: 2015-9-22 02:14
-
序：
我只想说~~再不发帖老大就 不搭理我了~~~
原因：玩保护玩到了 XINGCODE3 就他的各种检测就让我不得不重视这个问题了
各种窗口 各种X 我的工具 让我忍无可忍，就决定先HOOK了在说其他 最开始我用TA 的代码里面的 HOOK 方法 在 挂钩 NT 内核中的函数算是无往不利 在SHADOWSSDT中就蛋疼菊花紧了~~
于是 开始自己搞
我们要做的就是
得到KeServiceDescriptorTableShadow的地址 然后根据这个玩意儿得到函数地址 再inline hook!
大家要说了为什么不直接利用表HOOK 我就像说一句 太麻烦 要找一个在同一4GB 的内存空间做代理函数 还要二级跳 何必呢
HOOK 方式 使用汇编引擎得到一个不截断的大于等于14字节的可存放JMP 的长度
然后COPY 这个一片内存 复制到代理函数的开头 我用的汇编文件 给他30 个NOP 怎么都够了
然后 进入过滤函数 最后决定是跳回去执行还是这里就返回了
下面这个函数是获取 指定shadowssdt中指定index的项的函数地址
ULONG64 ssdt_GetSSDTShaDowFuncX64(ULONG serviceID){
PKSERVICE_TABLE_DESCRIPTOR SSDTShadow;
PULONG W32pServiceTable;
KAPC_STATE ApcState;
PULONG g_Guiprocess;
ULONG64 funcAddress;
SSDTShadow = (PKSERVICE_TABLE_DESCRIPTOR)KeServiceDescriptorTableShadow;
serviceID &= 0x0FFF;
if (!SSDTShadow)
{
return 0;
}
g_Guiprocess = Search64Process("csrss", 0);
W32pServiceTable = SSDTShadow[1].Base;
KeStackAttachProcess(g_Guiprocess, &ApcState);
funcAddress = (LONGLONG)(W32pServiceTable[serviceID] >> 4)
+ (ULONGLONG)W32pServiceTable;
KeUnstackDetachProcess(&ApcState);
funcAddress &= 0xfffffff0ffffffff;
return funcAddress;
}
代码略丑不要见怪
上面一些调用自己补充~~很简单~~
下面开始HOOK~、
这次目标程序函数是NtUserWindowFromPoint~
g_NtUserWindowFromPoint = ssdt_GetSSDTShaDowFuncX64(20);这样就得到了这个函数的地址
X64 = g_NtUserWindowFromPoint;保存一下一会儿HOOK 用
g_NtUserWindowFromPoint = g_NtUserWindowFromPoint+ 15;//十五字节
这里一会儿代理函数跳回去 跨过15个字节用到
下面编写.asm 文件
这里这个函数的前15个字节不截断的
EXTERN g_NtUserWindowFromPoint:QWORD //汇编中调用C里面申明的跳转地址
.CODE
FromPoint MACRO
BYTE 048h ,089h ,05Ch ,024h ,018h ,048h, 089h ,04Ch ,024h ,008h ,057h ,048h ,083h ,0ECh ,060h
ENDM
proxy_NtUserWindowFromPoint PROC
FromPoint //实现开头15字节
JMP QWORD ptr [g_NtUserWindowFromPoint] //跳回去
proxy_NtUserWindowFromPoint ENDP
一切准备就绪我们实现的功能就是跳到代理函数再跳回去~
DbgPrint("proxy_NtUserWindowFromPoint:%p", &proxy_NtUserWindowFromPoint);
tmpv = (UINT64)&proxy_NtUserWindowFromPoint;
memcpy(jmp_code + 6, &tmpv, 8);
attach(&ApcState);
DbgPrint("X64:%p", X64);
irql = WPOFFx64();
RtlFillMemory((void*)X64, 15, 0x90);
memcpy(X64, &jmp_code, 14);
WPONx64(irql);
deach(&ApcState);
// HOOK好了
语文是生物老师教的不好意思献丑了~~~
看一下效果图
每次发帖都有些纠结【 【排版也不好~~~
如果大家愿意来我的博客看看我也是很高兴的 ：http://blog.csdn.net/qq_18942885
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
原来如此，以为hook shadow也要pass pg
|
