Posted on 2009-10-24 22:20
S.l.e!ep.￠% 閱讀(700)
評(píng)論(0) 編輯 收藏 引用 所屬分類(lèi):
RootKit
|
注明：本文是轉(zhuǎn)帖。希望中國(guó)計(jì)算機(jī)技術(shù)越來(lái)越好。
論技術(shù)，我還差得遠(yuǎn)，而且網(wǎng)上關(guān)于SSDT的文章也多不勝數(shù)。但是還是想自己寫(xiě)一下，因?yàn)槲蚁朐囋囄夷懿荒苡米詈?jiǎn)單的語(yǔ)言來(lái)描述SSDT——這個(gè)對(duì)一般來(lái)人來(lái)說(shuō)比較神秘的屬于內(nèi)核的地帶。引用EVA說(shuō)的一句話，“以為寫(xiě)個(gè)驅(qū)動(dòng)就是內(nèi)核，還遠(yuǎn)著了”——大概是這么個(gè)意思，記得不是很清楚。
關(guān)于SSDT，描述得最清楚的應(yīng)該算《SSDT Hook的妙用－對(duì)抗ring0 inline hook》一文了，作者是墮落天才。這里引用一下他寫(xiě)的開(kāi)頭部分，略有個(gè)別字符的修改：
內(nèi)核中有兩個(gè)系統(tǒng)服務(wù)描述符表，一個(gè)是KeServiceDescriptorTable，由ntoskrnl.exe導(dǎo)出，一個(gè)是KeServieDescriptorTableShadow，沒(méi)有導(dǎo)出。這兩者都是一個(gè)結(jié)構(gòu)體，結(jié)構(gòu)下面會(huì)給出。他們的區(qū)別是，KeServiceDescriptorTable僅有 ntoskrnel一項(xiàng)，而KeServieDescriptorTableShadow則包含了ntoskrnel和win32k。一般的Native API的服務(wù)地址由KeServiceDescriptorTable分派，而gdi.dll和
user.dll的內(nèi)核API調(diào)用服務(wù)地址，由 KeServieDescriptorTableShadow分派。還有要清楚一點(diǎn)的是win32k.sys只有在GUI線程中才加載，一般情況下是不加載的。
他們的結(jié)構(gòu)如下：
代碼:
typedef struct _SYSTEM_SERVICE_TABLE
{
???? PVOID ServiceTableBase;???? //這個(gè)指向系統(tǒng)服務(wù)函數(shù)地址表
???? PULONG ServiceCounterTableBase;
???? ULONG NumberOfService; ???? //服務(wù)函數(shù)的個(gè)數(shù),NumberOfService*4 就是整個(gè)地址表的大小
???? ULONG ParamTableBase;
}SYSTEM_SERVICE_TABLE,*PSYSTEM_SERVICE_TABLE;
typedef struct _SERVICE_DESCRIPTOR_TABLE
{
???? SYSTEM_SERVICE_TABLE ntoskrnel;???? //ntoskrnl.exe的服務(wù)函數(shù)
???? SYSTEM_SERVICE_TABLE win32k;???? //win32k.sys的服務(wù)函數(shù),(gdi.dll/user.dll的內(nèi)核支持)
???? SYSTEM_SERVICE_TABLE NotUsed1;
???? SYSTEM_SERVICE_TABLE NotUsed2;
}SYSTEM_DESCRIPTOR_TABLE,*PSYSTEM_DESCRIPTOR_TABLE;
|
當(dāng)系統(tǒng)需要使用一個(gè)本機(jī)API的時(shí)候，就會(huì)去查找SYSTEM_DESCRIPTOR_TABLE這個(gè)表，也就是由ntoskrnl.exe導(dǎo)出的KeServiceDescriptorTable：
代碼:
nt!RtlpBreakWithStatusInstruction:
80527fc8 cc?????????????? int???? 3
kd> dd KeServiceDescriptorTable
80553380?? 805021fc 00000000 0000011c 80502670
80553390?? 00000000 00000000 00000000 00000000
805533a0?? 00000000 00000000 00000000 00000000
805533b0?? 00000000 00000000 00000000 00000000
805533c0?? 00002710 bf80c227 00000000 00000000
805533d0?? f9e6da80 f963a9e0 816850f0 806e0f40
805533e0?? 00000000 00000000 00000000 00000000
805533f0?? 97c5ac40 01c7abf5 00000000 00000000
|
可以看到，KeServiceDescriptorTable的地址是80553380?，F(xiàn)在看看這個(gè)地址保存的是什么，因?yàn)檫@個(gè)地址的值就是SYSTEM_SERVICE_TABLE的起始地址。好了，我們看到這個(gè)地址保存的是805021fc，那么也就是說(shuō)，系統(tǒng)服務(wù)的地址表起始地址為805021fc了?？纯催@個(gè)表是些什么鬼東西：
代碼:
kd> dd 805021fc
805021fc?? 80599746 805e6914 805ea15a 805e6946
8050220c?? 805ea194 805e697c 805ea1d8 805ea21c
8050221c?? 8060b880 8060c5d2 805e1cac 805e1904
8050222c?? 805ca928 805ca8d8 8060bea6 805ab334
8050223c?? 8060b4be 8059dbbc 805a5786 805cc406
8050224c?? 804ffed0 8060c5c4 8056be64 805353f2
8050225c?? 80604b90 805b19c0 805ea694 80619a56
8050226c?? 805eeb86 80599e34 80619caa 805996e6
|
這個(gè)過(guò)程是這樣的，最開(kāi)始是SYSTEM_DESCRIPTOR_TABLE（80553380）保存了SYSTEM_SERVICE_TABLE的地址（805021fc），SYSTEM_SERVICE_TABLE的地址（805021fc）又保存了很多地址，這個(gè)地址就是系統(tǒng)服務(wù)的地址了，類(lèi)似NtOpenProcess這樣的ring0的函數(shù)地址。這樣，系統(tǒng)就可以方便的找到每一個(gè)ring0函數(shù)去調(diào)用。
我們先看看第一個(gè)地址80599746是個(gè)什么函數(shù)，反匯編一下：
代碼:
kd> u 80599746
nt!NtAcceptConnectPort:
80599746 689c000000?????? push???? 9Ch
8059974b 6820a14d80?????? push???? offset nt!_real+0x128 (804da120)
80599750 e8abebf9ff?????? call???? nt!_SEH_prolog (80538300)
80599755 64a124010000???? mov???? eax,dword ptr fs:[00000124h]
8059975b 8a8040010000???? mov???? al,byte ptr [eax+140h]
80599761 884590?????????? mov???? byte ptr [ebp-70h],al
80599764 84c0???????????? test???? al,al
80599766 0f84b9010000???? je?????? nt!NtAcceptConnectPort+0x1df (80599925)
|
原來(lái)是NtAcceptConnectPort函數(shù)，第二個(gè)805e6914呢？我們也看一下，
代碼:
kd> u 805e6914
nt!NtAccessCheck:
805e6914 8bff???????????? mov???? edi,edi
805e6916 55?????????????? push???? ebp
805e6917 8bec???????????? mov???? ebp,esp
805e6919 33c0???????????? xor???? eax,eax
805e691b 50?????????????? push???? eax
805e691c ff7524?????????? push???? dword ptr [ebp+24h]
805e691f ff7520?????????? push???? dword ptr [ebp+20h]
805e6922 ff751c?????????? push???? dword ptr [ebp+1Ch]
|
原來(lái)是NtAccessCheck函數(shù)。
這樣我們可以清楚的看到，在這個(gè)起始地址為0x805021fc的表中，保存了各個(gè)ring0函數(shù)的地址。下面我來(lái)做個(gè)簡(jiǎn)單的比喻。
從前有一個(gè)很大的幫派，名字叫做Windows，功能很多并且很強(qiáng)大。因?yàn)檫@些各方面的能力由各個(gè)專(zhuān)人負(fù)責(zé)，他們一個(gè)人做一件事情。隨著人員增多，幫主發(fā)現(xiàn)聯(lián)系起來(lái)越來(lái)越困了。有一天幫主要找竟然NtOpenProcess來(lái)調(diào)查一下他的一個(gè)手下是不是別的幫派派來(lái)的間諜，但是他發(fā)現(xiàn)NtOpenProcess跑不見(jiàn)了。
于是軍師就想出了一個(gè)好辦法來(lái)解決這個(gè)問(wèn)題：先建立一個(gè)封閉的密室，這個(gè)密室只有八袋長(zhǎng)老以上的人才能進(jìn)去。密室中間有一張紙條，上面寫(xiě)著一個(gè)地址——溫家堡，還有這個(gè)地址放著多少人的聯(lián)系信息等內(nèi)容。這個(gè)密室就是Ntdll.dll，這個(gè)紙條就是SYSTEM_DESCRIPTOR_TABLE，上寫(xiě)的地址就是SYSTEM_SERVICE_TABLE，也就是溫家堡了。這個(gè)溫家堡是一個(gè)有很多大房間的地方，每個(gè)房子有個(gè)房間號(hào)
，房間里面又放著一張紙條，上面寫(xiě)著各個(gè)手下的住所。比如說(shuō)編號(hào)為7A的房間，里面放的是NtOpenProcess的家庭住址。
這樣一來(lái)，幫主要找人就容易了。先去密室找到紙條，看看上面寫(xiě)的是溫家堡還是白云城，那個(gè)地方有多少個(gè)人的聯(lián)系信息等。如果是溫家堡就跑到那里去，看看要找誰(shuí)，找NtOpenProcess就去7A房間。在這個(gè)房間里一看，啊，里面寫(xiě)著NtOpenProcess現(xiàn)在就住在密室的旁邊……搞定。
這里就有一個(gè)新的問(wèn)題，幫主假設(shè)這個(gè)里面寫(xiě)的東西都是正確的，沒(méi)有被人改過(guò)。于是就有了別派的間諜發(fā)現(xiàn)了，偷偷溜進(jìn)密室，然后根據(jù)紙條的內(nèi)容，又跑到溫家堡。進(jìn)到7A房間，神不知鬼不覺(jué)的把里面記錄的NtOpenProcess的地址改成了自己的家。于是，幫主再找人，發(fā)現(xiàn)找到對(duì)頭家里去了。這個(gè)就是傳說(shuō)中的SSDT Hook了。
攻擊者進(jìn)入ring0之后，找到KeServiceDescriptorTable地址的值，即SYSTEM_SERVICE_TABLE的地址（進(jìn)入密室，找到紙條寫(xiě)的地址——溫家堡）。然后改寫(xiě)SYSTEM_SERVICE_TABLE中一個(gè)特定函數(shù)的地址為自己定義的函數(shù)入口處，截獲了系統(tǒng)調(diào)用（來(lái)到溫家堡，改掉7A房間里面寫(xiě)的住所，改成自己家）。一次HOOK就完成了。
下面我給一段簡(jiǎn)單的代碼，演示怎么樣讓一個(gè)特定的PID不會(huì)被殺死。這段代碼基本和《SSDT Hook的妙用－對(duì)抗ring0 inline hook》一文一樣，我只是注釋了一下而已，另外在MyNtOpenProcess處加了個(gè)判斷是不是某個(gè)特定PID的功能。
代碼:
/*
演示HOOK系統(tǒng)服務(wù)調(diào)用表中的NtOpenProcess函數(shù)，保護(hù)需要保護(hù)的進(jìn)程被，防止被殺掉
*/
#include<ntddk.h>
/*
KeServiceDescriptorTable僅有ntoskrnel一項(xiàng)，沒(méi)有包含win32k，而且后面的兩個(gè)字段都沒(méi)有使用，所
以為了簡(jiǎn)便直接把SystemServiceDescriptorTable定義成SYSTEM_SERVICE_TABLE，免得訪問(wèn)多個(gè)結(jié)構(gòu)體的
字段，麻煩。這里明白就行了。
*/
typedef struct _SystemServiceDescriptorTable
{
???? PVOID???? ServiceTableBase;
???? PULONG???? ServiceCounterTableBase;
???? ULONG???? NumberOfService;
???? ULONG???? ParamTableBase;
}SystemServiceDescriptorTable,*PSystemServiceDescriptorTable;
// KeServiceDescriptorTable為ntoskrnl.exe導(dǎo)出
extern???? PSystemServiceDescriptorTable???? KeServiceDescriptorTable;
// 定義一下NtOpenProcess的原型，下面如果用匯編調(diào)用就不用定義了，但是我想盡量不用匯編
typedef???? NTSTATUS???? (__stdcall *NTOPENPROCESS)( OUT PHANDLE ProcessHandle,
????????????????????????????????????????????????
IN ACCESS_MASK AccessMask,
????????????????????????????????????????????????
IN POBJECT_ATTRIBUTES ObjectAttributes,
????????????????????????????????????????????????
IN PCLIENT_ID ClientId
????????????????????????????????????????????????
);
NTOPENPROCESS???? RealNtOpenProcess;
// 定義函數(shù)原型
VOID Hook();
VOID Unhook();
VOID OnUnload(IN PDRIVER_OBJECT DriverObject);
// 真實(shí)的函數(shù)地址，我們會(huì)在自定義的函數(shù)中調(diào)用
ULONG???? RealServiceAddress;
// 需要被驅(qū)動(dòng)保護(hù)的進(jìn)程ID
HANDLE???? MyPID;
// 自定義的NtOpenProcess函數(shù)
NTSTATUS __stdcall MyNtOpenProcess( OUT???? PHANDLE ProcessHandle,
???????????????????? IN???? ACCESS_MASK DesiredAccess,
???????????????????? IN???? POBJECT_ATTRIBUTES ObjectAttributes,
???????????????????? IN???? PCLIENT_ID ClientId )
{
???? NTSTATUS???? rc;
???? ULONG???????? PID;
????
???? //DbgPrint( "NtOpenProcess() called.\n" );
????
???? rc = (NTSTATUS)(NTOPENPROCESS)RealNtOpenProcess( ProcessHandle, DesiredAccess,
ObjectAttributes, ClientId );
????
???? if( (ClientId != NULL) )
???? {
???????? PID = (ULONG)ClientId->UniqueProcess;
???????? //DbgPrint( "%d was opened,Handle is %d.\n", PID, (ULONG)ProcessHandle );
????????
???????? // 如果進(jìn)程PID是1520，直接返回權(quán)限不足，并將句柄設(shè)置為空
???????? if( PID == 1520 )
???????? {
???????????? DbgPrint( "Some want to open pid 1520！\n" );
????????????
???????????? ProcessHandle = NULL;
????????????????????????
???????????? rc = STATUS_ACCESS_DENIED;
???????? }
???? }
????
???? return rc;
}
// 驅(qū)動(dòng)入口
NTSTATUS DriverEntry( IN PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath )
{
???? DriverObject->DriverUnload = OnUnload;
???? Hook();
????
???? return STATUS_SUCCESS;
}
// 驅(qū)動(dòng)卸載
VOID OnUnload(IN PDRIVER_OBJECT DriverObject)
{
???? Unhook( );
}
//?? 此處修改SSDT中的NtOpenProcess服務(wù)地址
VOID Hook()
{
???? ULONG???????????? Address;
????
???? // 0x7A為Winxp+SP2下NtOpenProcess服務(wù)ID號(hào)
???? // Adress是個(gè)地址A，這個(gè)地址的數(shù)據(jù)還是一個(gè)地址B，這個(gè)地址B就是NtOpenProcess的地址了
???? // (ULONG)KeServiceDescriptorTable->ServiceTableBase就是溫家堡的第一個(gè)房間
???? // Address是第7A個(gè)房間。
???? Address = (ULONG)KeServiceDescriptorTable->ServiceTableBase + 0x7A * 4;
???? // 取得地址A的值，也就是NtOpenProcess服務(wù)的地址了，保存原來(lái)NtOpenProcess的地址以后恢
復(fù)用
???? RealServiceAddress = *(ULONG*)Address;
????
???? RealNtOpenProcess = (NTOPENPROCESS)RealServiceAddress;
????
???? DbgPrint( "Address of Real NtOpenProcess: 0x%08X\n", RealServiceAddress );
???? DbgPrint(" Address of MyNtOpenProcess: 0x%08X\n", MyNtOpenProcess );
???? // 去掉內(nèi)存保護(hù)
???? __asm
???? {
???????? cli
???????? mov???? eax, cr0
???????? and???? eax, not 10000h
???????? mov???? cr0, eax
???? }
????
???? // 修改SSDT中NtOpenProcess服務(wù)的地址
?? *((ULONG*)Address) = (ULONG)MyNtOpenProcess;
???? // 恢復(fù)內(nèi)存保護(hù)
???? __asm
???? {
???????? mov???? eax, cr0
???????? or???? eax, 10000h
???????? mov???? cr0, eax
???????? sti
???? }
}
//////////////////////////////////////////////////////
VOID Unhook()
{
?? ULONG?? Address;
?? Address = (ULONG)KeServiceDescriptorTable->ServiceTableBase + 0x7A * 4;
???? __asm
???? {
???????? cli
???????? mov???? eax, cr0
???????? and???? eax, not 10000h
???????? mov???? cr0, eax
???? }
???? // 還原SSDT
???? *((ULONG*)Address) = (ULONG)RealServiceAddress;
????
???? __asm
???? {
???????? mov???? eax, cr0
???????? or???? eax, 10000h
???????? mov???? cr0, eax
???????? sti
???? }
???? DbgPrint("Unhook");
}
|
|
|
|
補(bǔ)充：雖然是轉(zhuǎn)貼，我還是補(bǔ)充兩句，各抒己見(jiàn)。
SSDT功能強(qiáng)大，猶如寶刀屠龍，號(hào)令天下，誰(shuí)敢不從？那么SSDT必定是武林豪杰必爭(zhēng)之寶。引起江湖上的風(fēng)風(fēng)雨雨在所難免。
黑道門(mén)派有：木馬，病毒，流氓軟件，無(wú)聊程序，下賤程序等幫派，如果被如此等流氓幫派得到SSDT如此寶物，必定腥風(fēng)血雨，天下不得安寧。
白道門(mén)派有：卡巴，瑞星，諾頓，金山，殺毒軟件，防毒軟件，木馬清道夫，尾巴清道夫，流氓軟件清道夫等等門(mén)派。如果如此門(mén)派得到此寶，那必定造福于天下，是武林之福啊。
中立門(mén)派有：外掛，反外掛，游戲防外掛等門(mén)派，如果他們得到此寶，影響較小，危害不大。
SSDT并非專(zhuān)屬誰(shuí)所有，所以誰(shuí)要得到他，那就得憑真本事，勝者為王，敗者為寇的道理就不用多說(shuō)了。介于上面種種原因，我們從江湖行情可以看出。經(jīng)常會(huì)出現(xiàn)病毒殺掉殺毒軟件，殺毒軟件干掉病毒的事情，刀劍無(wú)眼，這些都是不可避免的事情。但是經(jīng)常會(huì)覺(jué)得奇怪，為什么大家都同樣的用機(jī)器，我的就被病毒感染，別人的就沒(méi)有被感染呢？而且經(jīng)常會(huì)出現(xiàn)，重裝系統(tǒng)后仍然有病毒，而且仍然kill殺毒軟件，甚至安裝不上。
解釋就只有一個(gè)：先下手為強(qiáng)。重裝系統(tǒng)后任然有毒，并且安裝不上殺毒軟件只能說(shuō)明一個(gè)問(wèn)題，你先啟動(dòng)了病毒，后安裝殺毒軟件。讓病毒先得到了SSDT的控制權(quán)，殺毒軟件沒(méi)了那東西，自然威力大減，甚至發(fā)生滅門(mén)慘案。病毒被隱藏在其他盤(pán)了，在重裝系統(tǒng)后，以為平安無(wú)私了，掉以輕心去打開(kāi)其他盤(pán)，導(dǎo)致病毒重新啟動(dòng)。。。。
現(xiàn)在的外掛制作也基本上涉及到了SSDT技術(shù)，系統(tǒng)內(nèi)核層次也設(shè)計(jì)到 零環(huán) 和 3環(huán) 的對(duì)抗，為什么現(xiàn)在使用用戶態(tài)的鉤子，無(wú)法HOOK某些游戲做外掛，但是只要不HOOK游戲，在其他程序里跑又沒(méi)有問(wèn)題呢？原因就是這個(gè)問(wèn)題，你要HOOK某游戲，必定掛鉤到該進(jìn)程，游戲可以在SSDT那里修改你要使用的HOOK函數(shù)地址，然后每當(dāng)你調(diào)用鉤子函數(shù)去控制游戲的時(shí)候，都要經(jīng)過(guò)該游戲的過(guò)濾層，非法操作則return什么都不做就可以了，但是其實(shí)這是個(gè)笨辦法。去HOOK游戲的時(shí)候，必須使用全局鉤子，必定注入到游戲進(jìn)程，在外掛打開(kāi)該游戲進(jìn)程，調(diào)用OpenProccess或者NtOpenProccess時(shí)，直接HooK該函數(shù)，然后在里面檢測(cè)打開(kāi)的進(jìn)程是不是該游戲進(jìn)程，如果不是則正確調(diào)用該函數(shù)。如果是該游戲進(jìn)程，那你就死定了，程序就返回一個(gè)假的進(jìn)程值，比如說(shuō)游戲進(jìn)程開(kāi)啟一個(gè)子進(jìn)程，里面什么也不做，只讓他休眠。你以為打開(kāi)了該游戲進(jìn)程，其實(shí)你打開(kāi)了一個(gè)什么也不做的游戲子進(jìn)程。所以，無(wú)論你怎么做，游戲內(nèi)部都沒(méi)有反映。其實(shí)最強(qiáng)的游戲外掛是脫機(jī)外掛，不過(guò)這種外掛，哈哈···10有9都是游戲公司內(nèi)部做出來(lái)的，不然游戲通訊協(xié)議分析哪有那么容易，我現(xiàn)在看來(lái)覺(jué)得會(huì)很難。如果不是內(nèi)部人員做出來(lái)，或者透露出來(lái)的話，那么也就是說(shuō)，協(xié)議分析很簡(jiǎn)單咯，那么像網(wǎng)上銀行，支付寶早這些就被拿下了?；蛘哒f(shuō)像QQ這種軟件，那些什么消息加密，早就拿下了吧，如果能破解通信協(xié)議，你破解的不僅僅是通信協(xié)議本身，而是破解了別人的心靈加密問(wèn)題了，你已經(jīng)不是人，是神了。當(dāng)然不排除真正靠自己分析將協(xié)議分析出來(lái)的高手，我很佩服，我說(shuō)過(guò)他們不是人，是神，哈哈···。
?