之前分析pchunter时的笔记,懒得整理了,凑合看
1.pchunter调试
IDA打开驱动文件
设置调试器
运行vmmon
启动vmware虚拟机系统,
运行调试器
com:pipe,resets=0,reconnect,port=\\.\pipe\kd_windows_7_x64,
com:pipe,resets=0,reconnect,port=\\.\pipe\kd_Windows_7_x64
prot值可以从vmmon处观察
其实都一样
.sympath srv*http://msdl.microsoft.com/download/symbols;D:\localsymbols
dt _driver_object 不好使先设置符号路径,仍然不好使用.reload命令重新加载符号
找到driverEntry的iocontrol例程,找到里面的call eax为处理某个功能号,在此处下断点, dd rbx,查看功能号,输入输出等。
驱动分析技巧:驱动就是主要根据结构特征来定位,driver_object device_object, 各种的device_extension可以参考ddk sample和reactos
功能号:0x13号为判断地址是否可写
功能号:31列出所有的模块名称
通过DirverObject找到 DriverSection, 枚举 KLDR_DATA_TABLE_ENTRY 中的 InLoadOrderLinks 双向链表,获取加载的模块名称
//
qword_FFFFF8800389E558 = (__int64)DriverObject;
WINDBG>dt _driver_object
nt!_DRIVER_OBJECT
+0x000 Type : Int2B
+0x002 Size : Int2B
+0x008 DeviceObject : Ptr64 _DEVICE_OBJECT
+0x010 Flags : Uint4B
+0x018 DriverStart : Ptr64 Void
+0x020 DriverSize : Uint4B
+0x028 DriverSection : Ptr64 Void
+0x030 DriverExtension : Ptr64 _DRIVER_EXTENSION
+0x038 DriverName : _UNICODE_STRING
+0x048 HardwareDatabase : Ptr64 _UNICODE_STRING
+0x050 FastIoDispatch : Ptr64 _FAST_IO_DISPATCH
+0x058 DriverInit : Ptr64 long
+0x060 DriverStartIo : Ptr64 void
+0x068 DriverUnload : Ptr64 void
+0x070 MajorFunction : [28] Ptr64 long
dt _device_object
v8 = qword_FFFFF8800389FF58; //driver_object dt _driver_object
if ( !qword_FFFFF8800389FF58 )
v8 = **(_QWORD **)(qword_FFFFF8800389E558 + 0x28);driver_section
DriverSection输出出来是以下结构体 // dt _LDR_DATA_TABLE_ENTRY
WINDBG>dt _LDR_DATA_TABLE_ENTRY
nt!_LDR_DATA_TABLE_ENTRY
+0x000 InLoadOrderLinks : _LIST_ENTRY
+0x010 InMemoryOrderLinks : _LIST_ENTRY
+0x020 InInitializationOrderLinks : _LIST_ENTRY
+0x030 DllBase : Ptr64 Void
+0x038 EntryPoint : Ptr64 Void
+0x040 SizeOfImage : Uint4B
+0x048 FullDllName : _UNICODE_STRING
+0x058 BaseDllName : _UNICODE_STRING
+0x068 Flags : Uint4B
+0x06c LoadCount : Uint2B
+0x06e TlsIndex : Uint2B
+0x070 HashLinks : _LIST_ENTRY
+0x070 SectionPointer : Ptr64 Void
+0x078 CheckSum : Uint4B
+0x080 TimeDateStamp : Uint4B
+0x080 LoadedImports : Ptr64 Void
+0x088 EntryPointActivationContext : Ptr64 _ACTIVATION_CONTEXT
+0x090 PatchInformation : Ptr64 Void
+0x098 ForwarderLinks : _LIST_ENTRY
+0x0a8 ServiceTagLinks : _LIST_ENTRY
+0x0b8 StaticLinks : _LIST_ENTRY
+0x0c8 ContextInformation : Ptr64 Void
+0x0d0 OriginalBase : Uint8B
+0x0d8 LoadTime : _LARGE_INTEGER
{
if ( v8 <= MmSystemRangeStart )
break;
++v11;
v10 = 0;
if ( v11 > 0x1000 || *(_QWORD *)(v8 + 0x30) == qword_FFFFF8800389E568 )
break;
v8 = *(_QWORD *)v8; //InLoadOrderLinks
}
//
WINDBG>dt _LDR_DATA_TABLE_ENTRY
nt!_LDR_DATA_TABLE_ENTRY
+0x000 InLoadOrderLinks : _LIST_ENTRY
+0x010 InMemoryOrderLinks : _LIST_ENTRY
+0x020 InInitializationOrderLinks : _LIST_ENTRY
+0x030 DllBase : Ptr64 Void
+0x038 EntryPoint : Ptr64 Void
+0x040 SizeOfImage : Uint4B
+0x048 FullDllName : _UNICODE_STRING
+0x058 BaseDllName : _UNICODE_STRING
+0x068 Flags : Uint4B
+0x06c LoadCount : Uint2B
+0x06e TlsIndex : Uint2B
+0x070 HashLinks : _LIST_ENTRY
+0x070 SectionPointer : Ptr64 Void
+0x078 CheckSum : Uint4B
+0x080 TimeDateStamp : Uint4B
+0x080 LoadedImports : Ptr64 Void
+0x088 EntryPointActivationContext : Ptr64 _ACTIVATION_CONTEXT
+0x090 PatchInformation : Ptr64 Void
+0x098 ForwarderLinks : _LIST_ENTRY
+0x0a8 ServiceTagLinks : _LIST_ENTRY
+0x0b8 StaticLinks : _LIST_ENTRY
+0x0c8 ContextInformation : Ptr64 Void
+0x0d0 OriginalBase : Uint8B
+0x0d8 LoadTime : _LARGE_INTEGER
v24 = *(_WORD *)(v8 + 0x48) & 0xFFFE;
memmove((void *)(v17 + 36), *(const void **)(v8 + 0x50), (unsigned int)v24);
//点击内核钩子,FSD
枚举下列模块,记录下他们的加载地址和镜像大小
单机键盘选项卡
读取原始函数地址
1.打开文件,读取文件
2.分配镜像大小,按内存展开
3.找到OEP,
4.在oep函数内存中通过特征码,找到irp处理函数的偏移。
//内核钩子选项卡下的内核钩子
从磁盘中读取文件
根据导出表来检查 钩子
根据区段来检查钩子 判断区段是否可读,0x20000020 is executalbe contains code
IDT hook
35号功能
KeGetProcessorNumberFromIndex
KeSetSystemGroupAffinityThread
dt _KPCR
dt _KPRCB
(GS:[0x20] is the "KPCR.CurrentPrcb" pointer
http://www.securiteam.com/securitynews/6U00D0AN5G.html
@0环的ETHREAD结构体是记录线程的相关信息,EPROCESS结构体是记录进程相关的信息,同样我们每个CPU也有一个结构体来记录每个CPU的状态这个结构体就是KPCR结构体KPCR结构体如下下面该结构体中几个主要的成员,
先KeStartDynamicProcessor 函数处开始,(rva = 0x4f6a70)从内存中搜索,搜索不到的话 通过kpcr来获取原函数地址,搜索的函数为sub_FFFFxxxxxx1e50()
278a48 ntoskernel的地址加上这个数,就是上面的v1
v1的指向的值加上6就是了
__int64 sub_1405A62E0() ntoskernel对处理器的处理
在KeStartDynamicProcessor函数中找到 v10 = sub_1401A0B10(v7, v6, v5, v9);
在sub_1401A0B10函数中找到
v7 = sub_1403FA9D0(&v33, &Dst, v8, v13, (unsigned __int16)v23, v4, dword_1402B10C0, SHIDWORD(v26), v14, v9, v10);
在sub_1403FA9D0中定位到1403FAA68
1403FAA68为找地址 278a48的关键点,该地址位于hal *__usercall sub_1403FA9D0函数处
读取sidt寄存器来获取中段处理历程,获取挂钩后的地址
pchunter的不一定准,它的结果和windbg !idt输出有不一致的地方,windbg能找到的 51号,在pci驱动中,pchunter找不到
内核选项卡
枚举过滤驱动的功能号45
枚举的驱动:
\FileSystem\RAW \Driver\KbdClass \Driver\i8042prt
\Driver\Tcpip \Driver\nsiproxy \Driver\tdx
\Driver\Mouclass \Driver\NDIS \Driver\PnpManager
ObReferenceObjectByName获取驱动对象,枚举device object 的attchached device,获取attached device的驱动对象名,设备名 和驱动路径
dt _DEVICE_OBJECT
dt _DRIVER_OBJECT
工作线程队列:
功能号:0xc3
在ntoskrnl中
rva 0x8cc01 ExQueueWorkItem
在函数中找道到rva 0x21D600,此处为ExWorkerQueue全局变量,枚举ExWorkerQueue可以得到工作线程队列,枚举WORK_QUEUE_ITEM
参考9.4 内核劳务线程 reactos http://book.51cto.com/art/200912/174648.htm,
ExWorkerQueue是全局数组
一共三类
typedef enum _WORK_QUEUE_TYPE {
CriticalWorkQueue,
DelayedWorkQueue,
HyperCriticalWorkQueue,
MaximumWorkQueue
} WORK_QUEUE_TYPE;
WINDBG>dt _KQUEUE 0xFFFFF80004076600
ntdll!_KQUEUE
+0x000 Header : _DISPATCHER_HEADER
+0x018 EntryListHead : _LIST_ENTRY [ 0xfffff800`04076618 - 0xfffff800`04076618 ]
+0x028 CurrentCount : 0
+0x02c MaximumCount : 1
+0x030 ThreadListHead : _LIST_ENTRY [ 0xfffffa80`018fd208 - 0xfffffa80`018fed28 ]
ThreadListHead 是这类劳务线程链表,nt!_KTHREAD.QueueListEntry的队列
!exqueue命令显示了关于工作队列和工作线程的详细信息。
hal回调:
haldispatch table:
功能号:0xf0
ntoskrnl.exe导出全局变量:HalDispatchTable
从此处HalDsipatchTable+8的地址处枚举0x15个地址
halPrivateDispathTable:
功能号0xf1:
ntoskrne.exe导出变量:HalPrivateDispatchTable:
从此处HalPrivateDispatchTable+8的地址处枚举0x2D个地址
halAcpiDispatchTable:
功能号0xf2:
找到HalInitializeProcessor函数的地址
在.data数据段搜索 特征码1212238880(48414C20h)
找到rva为0x254c0的全局变量
+8处开始计算地址
原函数地址处的也是从此处复制过去的。有什么用呢
wdf
wdf01000派发函数:
功能号:0xaf
当前函数地址通过driverobject获得 " \Driver\wdf01000"
原始函数地址通过,打开SystemRoot\System32\drivers\wdf01000.sys,通过oep查找原函数地址,
下图为ida反汇编wdf01000.sys入口点的部分截图
找到wdf中IRP_MJ_CREATE, IRP_MJ_CLEANUP, IRP_MJ_CLOSE,这几个派发函数位于wdf01000.sys中
找到rva 0x91148,,此rva后面后4个常量地址,这四个函数是干嘛的?
保存后面四个函数的特征码
派发函数好多在ntoskrnl中,派遣函数地址都是填的下面的地址
ntoskernel导出表中找到iocreatedriver,在该函数中找到rva0x661d4,该函数名称为IopInvalidDeviceRequest
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!
最后于 2019-4-24 11:00
被littlewisp编辑
,原因: