-
-
[原创]初学驱动——绕过DNF的Inline Hook
-
发表于: 2009-4-5 16:31
-
事先声明：发表这篇文章目的只为交流学习，以及提醒TX“贵公司的网游有此漏洞，望尽快修复，还玩家们一个公平的游戏空间！”，如有人将此代码用于不法用途，本人概不负责！
另本文为本菜鸟学习驱动一个月的笔记文章，高手请飘过~~~
众所周知，DNF的驱动Inline Hook了几个函数，我只研究了NtOpenProcess这个函数，发现其在NtOpenProcess函数调用ObOpenObjectByPointer的地方下了个跳转，跳转到DNF自身的代码里面，从而使其他程序无法通过此函数获取DNF的进程句柄而达到保护的目的。此外，DNF的驱动还Inline Hook了NtReadVirtualMemory和NtWriteVirtualMemory函数，使其他程序无法随意修改DNF的进程内存。
我首先想到的当然是经典常规的恢复Inline Hook法了，可惜DNF的驱动一检测到Hook被恢复便马上重启电脑= =
，于是天真无邪的A计划落空了。。。。
然后我又想到在DNF的跳转之前下个跳转，由我的代码来实现ObOpenObjectByPointer函数的功能后再返回NtOpenProcess，以绕过DNF的跳转指令，但是我发现DNF实在太BT了，只要是修改了其跳转指令前的某条指令即可引起DNF的报警，没办法，B计划的也落空了。。。。
后来我看到了堕落天才大虾的文章《SSDT Hook的妙用－对抗ring0 inline hook》，然后想到了一个比较笨，但是很实用的方法，就是在游戏启动前先把NtOpenProcess整个函数的代码保存下来，再SSDT Hook，把地址指向我的代理函数。但是后来我发现DNF的驱动貌似还有个保护机制
，我估计是每隔一段时间检测系统是否有调用NtOpenProcess函数，没有的话就又弹出那个经典的“发现非法模块”的窗口= =！
。于是我在我的驱动里面做了个代理函数，函数里面先调用被DNF修改了的NtOpenProcess，丢弃返回值后再调用我保存的代码，最后返回这次的句柄，这时DNF就完全没有做声了！最后我们再来恢复一下NtReadVirtualMemory和NtWriteVirtualMemory函数的Inline Hook就万事大吉了~~~
这种方法可能通用性不强，因为事先没有知道NtOpenProcess函数代码占用的大小，我只在我XP SP2 Build 2600的机子上测试通过，请大家注意这一点，用WinDbg查看下具体大小然后在我的代码里面修改下值就可以了。此方法也能绕过冰刃的Inline Hook，但是前提是要在这些软件驱动前加载本驱动。
最后非常感谢堕落天才大虾的文章，还有就是衷心希望TX能尽快修复此漏洞，还玩家们一个公平的游戏空间！
完整驱动代码的地址：http://download.csdn.net/source/1177008
另本文为本菜鸟学习驱动一个月的笔记文章，高手请飘过~~~
众所周知，DNF的驱动Inline Hook了几个函数，我只研究了NtOpenProcess这个函数，发现其在NtOpenProcess函数调用ObOpenObjectByPointer的地方下了个跳转，跳转到DNF自身的代码里面，从而使其他程序无法通过此函数获取DNF的进程句柄而达到保护的目的。此外，DNF的驱动还Inline Hook了NtReadVirtualMemory和NtWriteVirtualMemory函数，使其他程序无法随意修改DNF的进程内存。
我首先想到的当然是经典常规的恢复Inline Hook法了，可惜DNF的驱动一检测到Hook被恢复便马上重启电脑= =
，于是天真无邪的A计划落空了。。。。然后我又想到在DNF的跳转之前下个跳转，由我的代码来实现ObOpenObjectByPointer函数的功能后再返回NtOpenProcess，以绕过DNF的跳转指令，但是我发现DNF实在太BT了，只要是修改了其跳转指令前的某条指令即可引起DNF的报警，没办法，B计划的也落空了。。。。
后来我看到了堕落天才大虾的文章《SSDT Hook的妙用－对抗ring0 inline hook》，然后想到了一个比较笨，但是很实用的方法，就是在游戏启动前先把NtOpenProcess整个函数的代码保存下来，再SSDT Hook，把地址指向我的代理函数。但是后来我发现DNF的驱动貌似还有个保护机制
，我估计是每隔一段时间检测系统是否有调用NtOpenProcess函数，没有的话就又弹出那个经典的“发现非法模块”的窗口= =！ 。于是我在我的驱动里面做了个代理函数，函数里面先调用被DNF修改了的NtOpenProcess，丢弃返回值后再调用我保存的代码，最后返回这次的句柄，这时DNF就完全没有做声了！最后我们再来恢复一下NtReadVirtualMemory和NtWriteVirtualMemory函数的Inline Hook就万事大吉了~~~ 这种方法可能通用性不强，因为事先没有知道NtOpenProcess函数代码占用的大小，我只在我XP SP2 Build 2600的机子上测试通过，请大家注意这一点，用WinDbg查看下具体大小然后在我的代码里面修改下值就可以了。此方法也能绕过冰刃的Inline Hook，但是前提是要在这些软件驱动前加载本驱动。
最后非常感谢堕落天才大虾的文章，还有就是衷心希望TX能尽快修复此漏洞，还玩家们一个公平的游戏空间！
完整驱动代码的地址：http://download.csdn.net/source/1177008
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
额。。。10楼提醒的是，我仅为技术研究哈。。。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
恢复Inline Hook 方法，能说一下吗，有没有只恢复Inline Hook就可以搞定的程序让我学习一下，介绍一个。
我想先从怎么恢复Inline Hook开始学习，还有。。如何知道什么函数被 Inline Hook了
|
|
|
|
|
|
|
|
|
|
|
|
谢谢指点
|
|
|
用RKU看了一下Np，只Hook了NtUserPostMessage;奇怪的是我做了一个遍历进程获取窗口名的东西一开，Np就弹个大红叉叉了，这是什么原因呢？
我用了EnumWindows，GetWindowText和GetWindowThreadProcessId，在RKU里面没找到这3个API 是不是级别不在一个层次里（R0？R3？） 如果要看前面3个API有没给Hook掉要怎么做？ |
|
|
|
