首页
社区
课程
招聘
[原创]记一次仿写一个内核DWM绘制
发表于: 2023-10-9 19:49 23918

[原创]记一次仿写一个内核DWM绘制

2023-10-9 19:49
23918

Github仓库地址: https://github.com/cs1ime/KernelDwm

本文中涉及到的技术与源码不得用于非法用途!

之前在Github上看到了一个有意思的仓库 https://github.com/wbaby/DoubleCallBack

有三次commit,原作者应该就是busy10了

原理是内核层调用用户层dwm的DirectX11 vtable函数,用户层把vtable里的函数替换成ntdll里的LdrpIsCODServiceEnabled触发内核中的注册表回调

接着调用vtable里的函数实现绘制,伪代码如下

不知为啥DirectX11能把Texture copy进Surface里面,DirectX12就不行了...总之DWM应该会一直使用DirectX11的,一个融合器也没必要上DirectX12这么复杂的API

这里的绘制实现是CPU写像素,安排上图形学的算法就行,busy10大佬已经帮我们写好基本的算法了 https://github.com/wbaby/DoubleCallBack/blob/master/DoubleCallback/LegacyRender.h

难点主要集中在内核层调用用户层和hook dwm

Windows提供的内核层调用用户层的标准函数是KeUserModeCallback

这里找到一篇文章分析这个函数 https://www.anquanke.com/post/id/184233#h2-1

只需要看 KiCallUserMode 的实现就行了,由于sysret将rcx作为了返回用户模式地址的寄存器,那就要返回用户层的时候要先跳到KiUserCallForwarder的后半段以实现从栈上获取到预先设定好的Windows x64调用约定中前4个由寄存器传递的参数(rcx,rdx,r8,r9)

sysret之前把rax设为目标函数地址,返回地址设定为NtCallbackReturn 即可。

关于KeUserModeCallback还额外需要申请一个内核栈,个人猜测应该是内核层回到用户层调用函数的时候,函数里面又要调用一些API进内核需要一个全新的栈。

对于kvashadow的gs:[xxxx]偏移,切换堆栈的时候必须涉及到这个,kvashadow是用来防幽灵熔断漏洞的,看了一下这个漏洞的实现原理,想要防只能给用户模式单独做一张没有内核模式敏感信息的页表,正常渠道进内核就用正常的页表

所以IA32_LSTAR的值肯定是由系统根据有无开启kvashadow自动分配的

开了kvashadow的syscall入口函数:

没开kvashadow的syscall入口函数:

IA32_LSTAR 记录的syscall地址如果开了kvashadow就是KiSystemCall64Shadow,没开就是KiSystemCall64,再加上一个固定偏移就能完美定位

实现代码:

经过Infhook测试发现DirectX11在Present之后必定会调用NtGdiDdDDIGetDeviceState,而这个函数在内核层是可被Hook的

hook点的完整栈回溯如下图

hook点位于DxgkGetDeviceStateInternal返回时机通过Process->DxgkProcess中的函数表调用UserScreenAccessCheck

注入的过程,我尽量写的隐蔽性高一点,蓝屏几率小一点

DWM进程是被Windows保护的,有很多保护机制存在,如果采用mdl映射用户层内存或者ntapi申请内存的形式,会在VAD里面留下一个大小造成检测方向,并且可能会被Windows的安全机制或者杀软的安全机制拦截

申请RWX内存的实现是通过ExAllocatePool申请内存,通过暴力添加pte条目实现内存映射,把申请到的内存映射到用户层模块 ntdll.dll 向上的地址区域

暴力映射内存的实现在源文件位置 https://github.com/cs1ime/KernelDwm/blob/master/KernelDwm/KernelDwm/dwm/MakeR3Mem.cpp

Hook MultiplanePresent和PresentImpl,执行的时候记录第一个参数就行

源码位置: https://github.com/cs1ime/KernelDwm/blob/master/DwmDllFactor/DwmDll/DwmDll/dwm/dxhook.cpp

要注意源码里的hook写内存用的是VirtualProtect函数,会触发Copy on write造成检测方向

ID3D11Texture2D* SurfaceD3D11 = 0;
pSwapChain->GetBuffer(0, __uuidof(ID3D11Texture2D), (void**)&SurfaceD3D11);
 
D3D11_TEXTURE2D_DESC desc = { 0 };
SurfaceD3D11->GetDesc(&desc);
desc.BindFlags = 0;
desc.MiscFlags = 0;
desc.Usage = D3D11_USAGE_STAGING;
desc.CPUAccessFlags = D3D11_CPU_ACCESS_READ | D3D11_CPU_ACCESS_WRITE;
ID3D11Texture2D* Texture = 0;
pd3dDevice->CreateTexture2D(&desc, 0, &Texture);
pd3dDeviceContext->CopyResource(Texture, SurfaceD3D11);
 
D3D11_MAPPED_SUBRESOURCE MapRes = { 0 };
pd3dDeviceContext->Map(Texture, 0, D3D11_MAP_READ_WRITE, 0, &MapRes);
 
ByteRender(MapRes.pData);
 
pd3dDeviceContext->Unmap(Texture, 0);
pd3dDeviceContext->CopyResource(SurfaceD3D11, Texture);
 
Texture->Release();
SurfaceD3D11->Release();
ID3D11Texture2D* SurfaceD3D11 = 0;

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

最后于 2023-10-10 20:07 被cslime编辑 ,原因: 加上注入
收藏
免费 15
支持
分享
最新回复 (19)
雪    币: 4120
活跃值: (5822)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
2
有点东西
2023-10-9 23:39
0
雪    币: 9014
活跃值: (6240)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
3
感谢分享
2023-10-9 23:53
0
雪    币: 914
活跃值: (2458)
能力值: ( LV5,RANK:68 )
在线值:
发帖
回帖
粉丝
4
牛的一
2023-10-10 09:56
0
雪    币: 3059
活跃值: (30876)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
感谢分享
2023-10-10 10:11
1
雪    币: 2119
活跃值: (1890)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
6
感谢分享
2023-10-10 18:04
1
雪    币: 1282
活跃值: (4555)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
7
缺点是找到的hook点必须在调用链上并且非常隐蔽
2023-10-11 02:38
0
雪    币: 3836
活跃值: (4142)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
厉害
2023-10-14 14:46
0
雪    币: 436
活跃值: (2668)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
2023-10-16 11:15
0
雪    币: 1025
活跃值: (1198)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
太强了
2023-11-23 01:39
0
雪    币: 6166
活跃值: (4937)
能力值: ( LV10,RANK:160 )
在线值:
发帖
回帖
粉丝
11
mark
2023-12-6 11:45
0
雪    币: 29
活跃值: (765)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
desc.Usage = D3D11_USAGE_STAGING;
pd3dDeviceContext->CopyResource(Texture, SurfaceD3D11);
性能损耗严重
2024-1-23 20:43
1
雪    币: 1810
活跃值: (4020)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
感谢分享
2024-4-10 14:43
0
雪    币: 101
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
14
有没有一起学习的
2024-4-22 01:30
0
雪    币: 50
活跃值: (522)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
喜欢做外挂 有没有一起学习的
有,留个q
2024-5-11 13:57
0
雪    币: 101
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
16
466272144
2024-5-14 10:00
0
雪    币: 101
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
17
全球首发 有,留个q
466272144加我
2024-5-14 10:04
0
雪    币: 245
活跃值: (294)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
18
标记
2024-10-11 19:38
0
雪    币: 10
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
19
这个不用ollvm编译的话,应该修改哪些地方啊
2024-11-1 19:14
0
雪    币: 412
活跃值: (643)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
20
wx_不够 desc.Usage = D3D11_USAGE_STAGING; pd3dDeviceContext->CopyResource(Texture, SurfaceD3D11); 性能损耗严 ...
大佬 有什么解决办法吗
2024-11-10 16:49
0
游客
登录 | 注册 方可回帖
返回
//