内核驱动 - HOOK SSDT 

  1 //////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
  2 //
  3 //   驱动编程: HOOK SSDT
  4 //
  5 //////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
  6 #include "ntddk.h"
  7 
  8 // 全局变量
  9 // 声明NtOpenProcess 函数指针
 10 typedef NTSTATUS (_stdcall *NTOPENPROCESS ) ( __out  PHANDLE ProcessHandle,
 11                                    __in     ACCESS_MASK DesiredAccess,
 12                                    __in     POBJECT_ATTRIBUTES ObjectAttributes ,
 13                                    __in_opt PCLIENT_ID ClientId );
 14 
 15 ULONG g_nOldNtOpenProcessAddr ; // 存储NtOpenProcess原地址
 16 
 17 // 内存字节对齐
 18 #pragma pack(1)
 19 
 20 //struct: ServiceDescriptorEntry_t
 21 typedef struct ServiceDescriptorEntry
 22 {
 23     unsigned int    * ServiceTableBase;        // SSDT 基址+偏移 (索引 )定位内核函数
 24     unsigned int    * ServiceCounterTableBase;   // checked build
 25     unsigned int     nNumberOfServices;       // SSDT 中函数个数
 26     unsigned char   * ParamTableBase;         // SSDT中函数的参数
 27 }ServiceDescriptorEntry_t, * PServiceDescriptorTableEntry_t;
 28 
 29 #pragma pack()
 30 
 31 // 导出( 微软未公开,需导出 )
 32 _declspec(dllimport ) ServiceDescriptorEntry_t     KeServiceDescriptorTable;
 33 
 34 
 35 // 恢复内存页保护
 36 void fnPageProtectOn ()
 37 {                         // 【 or】 : 按位“或”运算 ,当且仅当两操作数对应位都为“”时                 
 38     _asm                  //       结果相应位为“”,否则结果相应位为“”。
 39     {                    
 40          mov  eax, cr0         // cr0寄存器内核保护标志位当前为
 41          or    eax,10000h      // 将 h通过 or汇编指令按位 "或" 运算,cr0寄存器标志位
 42          mov  cr0, eax         // 从变为 ,从而达到恢复内存保护页的目的
 43          sti                // sti汇编指令: 允许中断发生
 44     }
 45 }
 46 
 47 // 清除内存页保护
 48 void fnPageProtectOff ()
 49 {                         // 【 and】 : 按位“与”操作 ,当且仅当两操作数对应位都为“”时
 50     _asm                  //        结果的相应位为“”,否则结果相应位为“”。
 51     {
 52          cli                // cli汇编指令: 禁用中断发生 ;当修改中断向量或堆栈指针时 ,
 53                          // 必须先禁用 ,否则产生中断会破坏当前的环境 ,造成程序崩溃
 54          mov  eax, cr0         // cr0寄存器保存了内核保护的标志位 :保护状态 ,否则为 ;
 55          and   eax, not 10000h   // 将 h取反并通过 and指令按位 "与" 运算,cr0寄存器标志
 56          mov  cr0, eax         // 位从变成 ,从而达到了取消内存页保护的目的
 57     }
 58 }
 59 
 60 
 61 // 实际执行NtOpenProcess 函数的函数
 62 NTSTATUS fnNewNtOpenProcess (  __out  PHANDLE ProcessHandle,
 63                          __in  ACCESS_MASK DesiredAccess,
 64                          __in  POBJECT_ATTRIBUTES ObjectAttributes,
 65                          __in_opt PCLIENT_ID ClientId)
 66 {
 67     // PEPROCESS结构体偏移 x16c即 :ImageFileName 存放的是当前进程的名称
 68     KdPrint(( "当前调用fnNewNtOpenProcess 函数的进程: %s", (UCHAR*)PsGetCurrentProcess ()+0x16c));
 69 
 70     // g_nOldNtOpenProcessAddr中存储原 NtOpenProcess地址, 强制转换成原函数指针类型后下发
 71     return ((NTOPENPROCESS)g_nOldNtOpenProcessAddr )(ProcessHandle , DesiredAccess,ObjectAttributes , ClientId );
 72 }
 73 
 74 NTSTATUS fnHookNtOpenProcess (void )
 75 {
 76     /**************************************************************************************
 77     //ULONG  nIndex;
 78     // 遍历SSDT 中函数的内存地址
 79     for ( nIndex=0; nIndex<KeServiceDescriptorTable.nNumberOfServices; ++nIndex)
 80     {
 81         KdPrint(("ServiceTable[%d]:%X",nIndex, KeServiceDescriptorTable.pnServiceTableBase[nIndex]));
 82     }
 83     **************************************************************************************/
 84     
 85     // 关闭页保护
 86     fnPageProtectOff();
 87 
 88     // 替换目标函数地址前 ,先保存原地址
 89     g_nOldNtOpenProcessAddr = KeServiceDescriptorTable.ServiceTableBase [190];
 90 
 91     // NtOpenProcess内存地址保存在 pnServiceTableBase索引第位,
 92     // 将 NtOpenProcess内存地址替换为目标函数内存地址 (fnNewNtOpenProcess)
 93     KeServiceDescriptorTable. ServiceTableBase[190] = (unsigned int)fnNewNtOpenProcess ;
 94     // 恢复页保护
 95     fnPageProtectOn();
 96     return STATUS_SUCCESS;
 97 }
 98 
 99 // 卸载hook
100 void fnUnHookNtOpenProcess ()
101 {
102     // 先关闭内存页保护
103     fnPageProtectOff();
104     // 再恢复 NtOpenProcess
105     KeServiceDescriptorTable. ServiceTableBase[190] = (unsigned int)g_nOldNtOpenProcessAddr ;
106     // 最后恢复页保护
107     fnPageProtectOn();
108 }
109 
110 // 卸载驱动
111 void fnUnLoadDriver (PDRIVER_OBJECT pDriverObj )
112 {
113     fnUnHookNtOpenProcess();    // 卸载 Hook
114     KdPrint(( "驱动卸载成功!" ));
115 }
116 // 驱动入口
117 NTSTATUS DriverEntry (PDRIVER_OBJECT pDriverObj , PUNICODE_STRING pszRegisterPath )
118 {
119     KdPrint(( "驱动加载成功!" ));
120     fnHookNtOpenProcess();      // 开始 Hook
121     pDriverObj-> DriverUnload = fnUnLoadDriver;
122     return STATUS_SUCCESS;
123 }

 

posted @ 2016-05-03 10:31  C/C++/Python/Java  阅读(680)  评论(0)    收藏  举报