[推荐]一份非常棒的inline hook 代码，顺便问个小问题-软件逆向-看雪-安全社区|安全招聘|kanxue.com

[推荐]一份非常棒的inline hook 代码，顺便问个小问题

发表于: 2008-4-28 21:13 6649

[推荐]一份非常棒的inline hook 代码，顺便问个小问题

gdlian

2008-4-28 21:13

6649

废话不多说，代码如下：
#include <ntddk.h>
#include <ntifs.h>
#include <windef.h>
ULONG g_KiInsertQueueApc;
ULONG g_uCr0;

BYTE g_HookCode[5] = { 0xe9, 0, 0, 0, 0 };
BYTE g_OrigCode[5] = { 0 }; // Ôº¯ÊýµÄÇ°×Ö½ÚÄÚÈÝ
BYTE jmp_orig_code[7] = { 0xEA, 0, 0, 0, 0, 0x08, 0x00 }; //ÒòÎªÊÇ³¤×ªÒÆ£¬ËùÒÔÓÐ¸ö 0x08

BOOL g_bHooked = FALSE;

VOID
fake_KiInsertQueueApc (
PKAPC Apc,
KPRIORITY Increment
);

VOID
Proxy_KiInsertQueueApc (
PKAPC Apc,
KPRIORITY Increment
);

void WPOFF()
{

ULONG uAttr;

_asm
{
      push eax;
      mov eax, cr0;
      mov uAttr, eax;
      and eax, 0FFFEFFFFh; // CR0 16 BIT = 0
      mov cr0, eax;
      pop eax;
      cli
};

g_uCr0 = uAttr; //±£´æÔÓÐµÄ CRO ŒÙÐÔ

}

VOID WPON()
{

_asm
{
      sti
      push eax;
      mov eax, g_uCr0; //»ÖÍÔÓÐ CR0 ŒÙÐÔ
      mov cr0, eax;
      pop eax;
};

}

//
// Í£Ö¹inline hook
//
VOID UnHookKiInsertQueueApc ()
{
KIRQL  oldIrql;

WPOFF();
oldIrql = KeRaiseIrqlToDpcLevel();

RtlCopyMemory ( (BYTE*)g_KiInsertQueueApc, g_OrigCode, 5 );

KeLowerIrql(oldIrql);
WPON();

g_bHooked = FALSE;
}

//
// ¿ªÊ¼inline hook --  KiInsertQueueApc
//
VOID HookKiInsertQueueApc ()
{
KIRQL  oldIrql;

if (g_KiInsertQueueApc == 0) {
      DbgPrint("KiInsertQueueApc == NULL\n");
      return;
}

//DbgPrint("¿ªÊ¼inline hook --  KiInsertQueueApc\n");
DbgPrint( "KiInsertQueueApcµÄµØÖ·t0x%08x\n", (ULONG)g_KiInsertQueueApc );
// ±£´æÔº¯ÊýµÄÇ°×Ö½ÚÄÚÈÝ
RtlCopyMemory (g_OrigCode, (BYTE*)g_KiInsertQueueApc, 5);//¡ï
*( (ULONG*)(g_HookCode + 1) ) = (ULONG)fake_KiInsertQueueApc - (ULONG)g_KiInsertQueueApc - 5;//¡ï

// ½ûÖ¹ÏµÍ³Ð´±£»¤£¬ÌáÉýIRQLµ½DPC
WPOFF();
oldIrql = KeRaiseIrqlToDpcLevel();

RtlCopyMemory ( (BYTE*)g_KiInsertQueueApc, g_HookCode, 5 );
*( (ULONG*)(jmp_orig_code + 1) ) = (ULONG) ( (BYTE*)g_KiInsertQueueApc + 5 );//¡ï

RtlCopyMemory ( (BYTE*)Proxy_KiInsertQueueApc, g_OrigCode, 5);//ÐÞ¸ÄProxy_KiInsertQueueApcº¯ÊýÍ·
RtlCopyMemory ( (BYTE*)Proxy_KiInsertQueueApc + 5, jmp_orig_code, 7);

// »Ö¸´Ð´±£»¤£¬½µµÍIRQL
KeLowerIrql(oldIrql);
WPON();

g_bHooked = TRUE;

}

//
// Ìø×ªµ½ÎÒÃÇµÄº¯ÊýÀïÃæ½øÐÐÔ¤´¦Àí
//
__declspec (naked)
VOID
fake_KiInsertQueueApc (
PKAPC Apc,
KPRIORITY Increment
)
{


// È¥µôDbgPrint,²»È»Õâ¸öhook»á²úÉúµÝ¹é
//DbgPrint("inline hook --  KiInsertQueueApc ³É¹¦\n");

__asm
{
            jmp Proxy_KiInsertQueueApc //¡ïÔÚÕâÒ»ÏµÁÐJMPÖÐ£¬Ã»ÓÐÒ»´¦Ê¹ÓÃCALL£¬¼ò»¯ÁË´úÂë£¬ÔöÇ¿ÁËÎÈ¶¨ÐÔ
}
}

//
// ´úÀíº¯Êý£¬¸ºÔðÌø×ªµ½Ôº¯ÊýÖÐ¼ÌÐøÖ´ÐÐ
//
__declspec (naked)
VOID
Proxy_KiInsertQueueApc (
PKAPC Apc,
KPRIORITY Increment
)
{

__asm {  // ¹²×Ö½Ú
         _emit 0x90
         _emit 0x90
         _emit 0x90
         _emit 0x90
         _emit 0x90  // Ç°×Ö½ÚÊµÏÖÔº¯ÊýµÄÍ·×Ö½Ú¹¦ÄÜ
         _emit 0x90  // Õâ¸öÌî³äjmp
         _emit 0x90
         _emit 0x90
         _emit 0x90
         _emit 0x90  // Õâ×Ö½Ú±£´æÔº¯Êý+5´¦µÄµØÖ·
         _emit 0x90
         _emit 0x90  // ÒòÎªÊÇ³¤×ªÒÆ,ËùÒÔ±ØÐëÊÇ0x0080
}
}

ULONG GetFunctionAddr( IN PCWSTR FunctionName)
{
UNICODE_STRING UniCodeFunctionName;
RtlInitUnicodeString( &UniCodeFunctionName, FunctionName );
return (ULONG)MmGetSystemRoutineAddress( &UniCodeFunctionName );

}

//¸ù¾ÝÌØÕ÷Öµ£¬´ÓKeInsertQueueApcËÑË÷ÖÐËÑË÷KiInsertQueueApc
ULONG FindKiInsertQueueApcAddress()
{
  char * Addr_KeInsertQueueApc = 0;
  int i = 0;
  char Findcode[] = { 0xE8, 0xcc, 0x29, 0x00, 0x00 };
  ULONG Addr_KiInsertQueueApc = 0;
Addr_KeInsertQueueApc = (char *) GetFunctionAddr(L"KeInsertQueueApc");
  for(i = 0; i < 100; i ++)
  {
      if( Addr_KeInsertQueueApc[i] == Findcode[0] &&
   Addr_KeInsertQueueApc[i + 1] == Findcode[1] &&
   Addr_KeInsertQueueApc[i + 2] == Findcode[2] &&
   Addr_KeInsertQueueApc[i + 3] == Findcode[3] &&
   Addr_KeInsertQueueApc[i + 4] == Findcode[4]
   )
{
   Addr_KiInsertQueueApc = (ULONG)&Addr_KeInsertQueueApc[i] + 0x29cc + 5;
   break;
}
  }
  return Addr_KiInsertQueueApc;
}

VOID OnUnload( IN PDRIVER_OBJECT DriverObject )
{
  DbgPrint("My Driver Unloaded!");
  UnHookKiInsertQueueApc();
}

NTSTATUS DriverEntry( IN PDRIVER_OBJECT theDriverObject, IN PUNICODE_STRING theRegistryPath )
{
  DbgPrint("My Driver Loaded!");
  theDriverObject->DriverUnload = OnUnload;

  g_KiInsertQueueApc = FindKiInsertQueueApcAddress();
  HookKiInsertQueueApc();

  return STATUS_SUCCESS;
}
//完毕

问题如下，

__declspec (naked)
VOID
fake_KiInsertQueueApc (
PKAPC Apc,
KPRIORITY Increment
)
{


// 去掉DbgPrint,不然这个hook会产生递归（为什么这里不能调用DbgPrint？）
//DbgPrint("inline hook --  KiInsertQueueApc 成功\n");

__asm
{
            jmp Proxy_KiInsertQueueApc //★在这一系列JMP中，没有一处使用CALL，简化了代码，增强了稳定性
}
}

为什么在HOOK函数中，一开始不能调用DbgPrint（）？我没想明白，请高人指点迷津，万分感谢。

代码编译成功，但在 XP SP2下提示找不到KiInsertQueueApc，
发出 “ KiInsertQueueApc == NULL” 提示
这倒无所谓，关键是HOOK的部分得搞明白呵

懒得找原因了，关键是HOOK部分，有一处不明白啊

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

#系统底层

上传的附件：

INLINEHOOK.rar （90.51kb，234次下载）

收藏・4

免费・0

支持

最新回复 (6)
gdlian 雪币： 197 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 40 回帖 196 粉丝 0 关注私信	gdlian 2 楼代码的注释乱了，有完整的工程文件提供下载 2008-4-28 21:32 0
轩辕小聪雪币： 722 活跃值： (123) 能力值： ( LV12，RANK：300 ) 在线值：发帖 10 回帖 547 粉丝 5 关注私信	轩辕小聪 7 3 楼代码采用的是动态搜索KeInsertQueueApc中call进KiInsertQueueApc的那行代码。代码默认认为那行代码的机器码就是： E8CC290000 也就是说指定了KiInsertQueueApc与这行代码的相对位置。而这个相对位置，不仅会随操作系统和补丁而变，也可能会随不同内核文件（使用ntoskrnl.exe还是ntkrpamp.exe等）而变。所以，实际上跟硬编码没有多大区别。比如XP SP2系统，但是内核文件为ntkrpamp.exe的话，相应代码就成了这样： 804fd4a6 e84b2b0000 call nt!KiInsertQueueApc (804ffff6) 显然不同了。所以搜索不到，是没有考虑兼容性的结果。 2008-4-28 22:08 0
轩辕小聪雪币： 722 活跃值： (123) 能力值： ( LV12，RANK：300 ) 在线值：发帖 10 回帖 547 粉丝 5 关注私信	轩辕小聪 7 4 楼因为DbgPrint函数内部也调用了KiInsertQueueApc，结果： fake_KiInsertQueueApc->DbgPrint->fake_KiInsertQueueApc->DbgPrint->fake_KiInsertQueueApc…… 这就遭遇了函数的“重入”，也就是变成无穷的递归调用了。这是HOOK特别是内核HOOK要特别注意的问题。要避免重入出现的问题，也就是第二次再回来的时候必须不再DbgPrint而是跳过，比如设置Event……。 2008-4-28 22:36 0
gdlian 雪币： 197 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 40 回帖 196 粉丝 0 关注私信	gdlian 5 楼太感谢了 2008-4-29 09:08 0
十指紧扣雪币： 209 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 72 粉丝 0 关注私信	十指紧扣 6 楼太麻烦太麻烦了。。。 Inline 没必要 2008-4-29 10:07 0
gdlian 雪币： 197 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 40 回帖 196 粉丝 0 关注私信	gdlian 7 楼这么清晰的代码，我看着一点不麻烦啊，楼上的有更简单的方法？ 2008-4-29 11:24 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

gdlian

发帖

196

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (6)
gdlian 雪币： 197 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 40 回帖 196 粉丝 0 关注私信	gdlian 2 楼代码的注释乱了，有完整的工程文件提供下载 2008-4-28 21:32 0
轩辕小聪雪币： 722 活跃值： (123) 能力值： ( LV12，RANK：300 ) 在线值：发帖 10 回帖 547 粉丝 5 关注私信	轩辕小聪 7 3 楼代码采用的是动态搜索KeInsertQueueApc中call进KiInsertQueueApc的那行代码。代码默认认为那行代码的机器码就是： E8CC290000 也就是说指定了KiInsertQueueApc与这行代码的相对位置。而这个相对位置，不仅会随操作系统和补丁而变，也可能会随不同内核文件（使用ntoskrnl.exe还是ntkrpamp.exe等）而变。所以，实际上跟硬编码没有多大区别。比如XP SP2系统，但是内核文件为ntkrpamp.exe的话，相应代码就成了这样： 804fd4a6 e84b2b0000 call nt!KiInsertQueueApc (804ffff6) 显然不同了。所以搜索不到，是没有考虑兼容性的结果。 2008-4-28 22:08 0
轩辕小聪雪币： 722 活跃值： (123) 能力值： ( LV12，RANK：300 ) 在线值：发帖 10 回帖 547 粉丝 5 关注私信	轩辕小聪 7 4 楼因为DbgPrint函数内部也调用了KiInsertQueueApc，结果： fake_KiInsertQueueApc->DbgPrint->fake_KiInsertQueueApc->DbgPrint->fake_KiInsertQueueApc…… 这就遭遇了函数的“重入”，也就是变成无穷的递归调用了。这是HOOK特别是内核HOOK要特别注意的问题。要避免重入出现的问题，也就是第二次再回来的时候必须不再DbgPrint而是跳过，比如设置Event……。 2008-4-28 22:36 0
gdlian 雪币： 197 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 40 回帖 196 粉丝 0 关注私信	gdlian 5 楼太感谢了 2008-4-29 09:08 0
十指紧扣雪币： 209 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 72 粉丝 0 关注私信	十指紧扣 6 楼太麻烦太麻烦了。。。 Inline 没必要 2008-4-29 10:07 0
gdlian 雪币： 197 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 40 回帖 196 粉丝 0 关注私信	gdlian 7 楼这么清晰的代码，我看着一点不麻烦啊，楼上的有更简单的方法？ 2008-4-29 11:24 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复