Ay's Blog@CNSSUESTC

My Links

News

暫時把這個作為主博客吧~ 百度博客系統(tǒng)太封閉了

隨筆分類(32)

隨筆檔案(43)

相冊

pic for blog

搜索

閱讀排行榜

評論排行榜

windbg學(xué)習(xí)筆記 FOR 內(nèi)核調(diào)試(四) -- PspTerminateThreadByPointer

????? 近日事情頗多喝茶拉吃好吃的還有看電影啊~磨去不少時間,甚歡.難得放假回家一直被拉出去也沒看什么東西前段時間剛跟鼠仙討論了下我跑去看了下進(jìn)程保護(hù)的一些東東,但是膚淺的很就研究了下WRK的一些代碼發(fā)現(xiàn)關(guān)閉進(jìn)程都跟這個PspTerminateThreadByPointer函數(shù)有關(guān),NtProcess的代碼很簡單,就是得到進(jìn)程的EPROCESS 然后遍歷它的線程鏈表接著就一個個用 PspTerminateThreadByPointer 函數(shù)掛掉就OK? 也就是說想要保護(hù)進(jìn)程掛鉤個 PspTerminateThreadByPointer 效果還是很理想的??? 反正拿這個去實現(xiàn)R3下進(jìn)程保護(hù)應(yīng)該綽綽有余了
為了練習(xí)下windbg的使用準(zhǔn)備隨便跟下我們的 PspTerminateThreadByPointer 函數(shù) 冰刃剛下速度太慢了我就用任務(wù)管理器試驗的呵呵

首先開虛擬機,然后一陣啰嗦的操作后進(jìn)入正題

先給我們的函數(shù)下個斷
kd> bp nt!PspTerminateThreadByPointer

我們bl看看
kd> bl
?0 e 805c9b8e???? 0001 (0001) nt!PspTerminateThreadByPointer

OK 成功了然后打開任務(wù)管理器在隨便打開個程序? INSTDRV.exe? (平時加載驅(qū)動用的,呵呵)

然后拿任務(wù)管理器做掉這個進(jìn)程 HOHO~~

Breakpoint 0 hit
nt!PspTerminateThreadByPointer:
805c9b8e 8bff??????????? mov???? edi,edi

斷下來了? 匯編顯示的是這個函數(shù)的第一條語句不過這個命令無任何意義

拿k指令看看函數(shù)堆棧

kd> k
ChildEBP RetAddr?
f7932d28 805c9d8b nt!PspTerminateThreadByPointer
f7932d54 8053e648 nt!NtTerminateProcess+0xd5
f7932d54 7c92e4f4 nt!KiFastCallEntry+0xf8
0007f73c 7c92de5c ntdll!KiFastSystemCallRet
0007f740 7c801e3a ntdll!ZwTerminateProcess+0xc

喃~函數(shù)堆棧是個好東西? 呵呵? 那么我們結(jié)束進(jìn)程的過程就清楚了由于后面的函數(shù)堆棧沒法顯示不知道為什么反正差不多的調(diào)用流程就是這樣
ZwTerminateProcess- NtTerminateProcess - PspTerminateThreadByPointer 中間那2個函數(shù)干嘛用的我就不太清楚了?? 反了下 ZwTerminateProcess
kd> uf nt!zwterminateprocess
nt!ZwTerminateProcess:
805001bc b801010000????? mov???? eax,101h
805001c1 8d542404??????? lea???? edx,[esp+4]
805001c5 9c????????????? pushfd
805001c6 6a08??????????? push??? 8
805001c8 e8c4e20300????? call??? nt!KiSystemService (8053e491)
805001cd c20800????????? ret???? 8

nt!KiSystemService這個函數(shù)好像是跟SSDT有關(guān) 估計就是跑去找NtProcess的地址的吧那么中間那2個函數(shù)可以自己意淫一下應(yīng)該就是進(jìn)行用戶態(tài)和內(nèi)核態(tài)之間的切換了~
不知道是不是這樣的? 希望哪位大牛可以解答下小弟的推測正確與否~ 在此謝過~!

然后單步調(diào)試開始了嘿嘿為了方便看我重新斷了次(之前拿r指令開了顯示寄存器信息開關(guān)了呵呵)
Breakpoint 0 hit
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b8e esp=f7932d2c ebp=f7932d54 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer:
805c9b8e 8bff??????????? mov???? edi,edi
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b90 esp=f7932d2c ebp=f7932d54 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer+0x2:
805c9b90 55????????????? push??? ebp
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b91 esp=f7932d28 ebp=f7932d54 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer+0x3:
805c9b91 8bec??????????? mov???? ebp,esp
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b93 esp=f7932d28 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer+0x5:
805c9b93 83ec0c????????? sub???? esp,0Ch ; 貌似是切換棧了~
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b96 esp=f7932d1c ebp=f7932d28 iopl=0???????? nv up ei ng nz ac po nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000292
nt!PspTerminateThreadByPointer+0x8:
805c9b96 834df8ff??????? or????? dword ptr [ebp-8],0FFFFFFFFh ss:0010:f7932d20=00000008
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b9a esp=f7932d1c ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0xc:
805c9b9a 56????????????? push??? esi
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b9b esp=f7932d18 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0xd:
805c9b9b 57????????????? push??? edi ; 注意這里原來的esi在ebp+8處
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b9c esp=f7932d14 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0xe:
805c9b9c 8b7d08????????? mov???? edi,dword ptr [ebp+8] ss:0010:f7932d30=81308da8
;喃~他把原來esi的值傳給edi了
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=81308da8
eip=805c9b9f esp=f7932d14 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0x11:
805c9b9f 8db748020000??? lea???? esi,[edi+248h]
;wrk上有條語句如下
?if (Thread->CrossThreadFlags
??? & PS_CROSS_THREAD_FLAGS_BREAK_ON_TERMINATION)
然后根據(jù)這個 lea???? esi,[edi+248h] 命令看來貌似edi指向的是個ETHREAD結(jié)構(gòu) 應(yīng)為
ETHREAD偏移248處就是這個CrossThreadFlags成員變量
kd> dt _ethread
ntdll!_ETHREAD
?? +0x000 Tcb????????????? : _KTHREAD
?? [...]
?? +0x248 CrossThreadFlags : Uint4B
?? [...]
那么就是說edi存放的是ethread的地址,上個命令
mov???? edi,dword ptr [ebp+8]就是把原esi的值傳給edi的
可見第一個參數(shù)是保存在esi中的?? 那我們來看看這個ethread的結(jié)構(gòu)
現(xiàn)在edi中存放的是ethread的地址
kd> r esi
esi=81308da8

然后
kd> dt _ethread 81308da8
ntdll!_ETHREAD
?? +0x000 Tcb????????????? : _KTHREAD
?? [...]
?? +0x1d0 ExitStatus?????? : 0
?? [...]
?? +0x220 ThreadsProcess?? : 0x81299020 _EPROCESS
?? [...]
找到 ThreadsProcess? 它的值是 0x81299020 這個就是線程對應(yīng)的進(jìn)程結(jié)構(gòu)地址
kd> dt _eprocess 0x81299020
ntdll!_EPROCESS
?? +0x000 Pcb????????????? : _KPROCESS
?? [...]
?? +0x174 ImageFileName??? : [16]? "INSTDRV.EXE"
?? [...]
看~"INSTDRV.EXE"是我們要結(jié)束的那個進(jìn)程吧~呵呵
PspTerminateThreadByPointer的函數(shù)原型是這樣的
NTSTATUS
PspTerminateThreadByPointer(
??? IN PETHREAD Thread,
??? IN NTSTATUS ExitStatus,
??? IN BOOLEAN DirectTerminate
??? )
第一個參數(shù)就是要做掉的線程結(jié)構(gòu) 要結(jié)束進(jìn)程得把這個進(jìn)程下所有線程掛掉剛我們斷下PspTerminateThreadByPointer 拿第一個指向的結(jié)構(gòu)一路跟蹤過來就找到了這個"INSTDRV.EXE" eprocess
神奇吧~HOHO~

到這里我一度很是奇怪,咋個參數(shù)傳遞不都是通過棧傳遞的嗎?
我發(fā)現(xiàn)PspTerminateThreadByPointer的函數(shù)調(diào)用好像是第一個參數(shù)在esi里面
第二個參數(shù)不知道是不是在edi里面那么~~第三個參數(shù)在哪....

我好像之前有略過一篇文章說到這個windows堆棧傳遞忘了是那篇文章了...

一會要去T球了暫時打住...
匯編好多指令不懂...先去修煉內(nèi)功先...再好好研究這個函數(shù)吧呵呵
???????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????? __ay.字

posted on 2009-02-03 15:16 __ay 閱讀(2569) 評論(2) 編輯收藏引用所屬分類: 操作系統(tǒng)&&內(nèi)核

Feedback

# re: windbg學(xué)習(xí)筆記 FOR 內(nèi)核調(diào)試(四) -- PspTerminateThreadByPointer 2009-02-04 09:31 zuhd

難道你是成電的？UESTC 回復(fù) 更多評論

# re: windbg學(xué)習(xí)筆記 FOR 內(nèi)核調(diào)試(四) -- PspTerminateThreadByPointer 2009-02-07 21:56 __ay

@zuhd
呵呵是啊~你也是??? 回復(fù) 更多評論

刷新評論列表

只有注冊用戶登錄后才能發(fā)表評論。


相關(guān)文章: 內(nèi)核下進(jìn)行浮點運算內(nèi)核部分筆記 --- 在內(nèi)核下把文件的內(nèi)容寫入內(nèi)存中關(guān)于jmp相對跳的一道程序分析 windbg學(xué)習(xí)筆記 FOR 內(nèi)核調(diào)試(四) -- PspTerminateThreadByPointer 修改setenv.bat,省的每次編譯驅(qū)動的時候老要打文件夾名,在build 老把寄存器弄混~~特此記下這些 From 百度百科跟群內(nèi)某大牛聊天筆記...... FOR PspCidTable windbg學(xué)習(xí)筆記 FOR 內(nèi)核調(diào)試(三) --進(jìn)程句柄表HANDLE_TABLE windbg學(xué)習(xí)筆記 FOR 內(nèi)核調(diào)試(二) windbg學(xué)習(xí)筆記 FOR 內(nèi)核調(diào)試(一)

網(wǎng)站導(dǎo)航: 博客園 IT新聞 BlogJava 博問 Chat2DB 管理

青青草原综合久久大伊人导航_色综合久久天天综合_日日噜噜夜夜狠狠久久丁香五月_热久久这里只有精品