-
-
[原创]某南极动物厂AceXGame_sys_23.sys之InfinityHook （传统艺能copy-paste他来了）
-
发表于: 2020-4-7 12:58
-
上集回顾：
https://bbs.pediy.com/thread-258352.htm
从LOL玩家那边找到了不明驱动，不知道为什么笔者电脑上没有
有一说一2345也要占ifhook这个坑，
他不怕我2345的吗？
dump出来修复IAT之后
搜索一下sig，参考上集
2345Base.sys!IfhpModifyTraceSettings
Property->Wnode.Flags = WNODE_FLAG_TRACED_GUID;
C7 ?? 2C 00 00 02 00
在AceXGame里也能直接搜到，而且唯一
貌似vmp的mutant效果不太行啊，F5还是直接出结果了
根据宏定义
#define EVENT_TRACE_FLAG_SYSTEMCALL 0x00000080 // system calls
#define EVENT_TRACE_FLAG_MEMORY_PAGE_FAULTS 0x00001000 // system calls
#define EVENT_TRACE_FLAG_CSWITCH 0x00000010 // system calls
我们可以看到它可选择监控三种事件
其中Ace_CSwitchPerLogEnable没有看到xref，应该是代码写一半注释掉了
猜测是南极动物厂的人想把hook kipagefault+fake cr3换成无需passpg的套路结果发现不行于是就删了
xref Ace_SyscallPerfLogEnable能看到三个引用，其中第一个是设置开启syscall监控的，第二个就是刚刚的modifytracesettings
第三个是接管syscall的handler函数
为什么这么说呢？因为
还顺带支持vista我是没想到的
他这个获取&SyscallFunction的方法很捞啊（指没有判断StackLimit和StackHigh，而且for循环搜索慢得一）
继续xref IfhSyscallHandler可以找到GetCpuClock
继续
xrefGetCpuClock 可以找到替换函数指针的地方
再xref IfhInitialize能找到三处调用，因为没有现场环境能调试，这里猜测应该是开了线程不停重新初始化ifhook并替换指针
根据xref g_SyscallHandler能找到一处设置真实回调函数的地方
这里一看就是标准的*pointerToSyscallFunction = NewNtXXXXX
有一说一它这个如果要卸载也不是安全的
如果CPU正好执行到NewNtXXXXX+当前驱动被卸载了，前面的rundownprotect是完全保护不了它的，肯定会蓝屏了
再说说监控pagefault的部分
貌似也是代码写了一半没写了，没有看到真正使用的地方
最后于 2020-4-7 14:59
被hzqst编辑
，原因：
