x64下进程保护HOOK

短命女 2021-11-04 14:31 704阅读 0赞

*  x64(32)下的进程保护回调.
    
     *  一丶进程保护线程保护
        
         *  1.简介以及原理
         *  1.2 代码
         *  1.3注意的问题
     *  二丶丶回调函数写法
        
         *  2.1 遇到的问题.
         *  2.2 回调代码

# x64(32)下的进程保护回调. #

## 一丶进程保护线程保护 ##

### 1.简介以及原理 ###

以前我们讲过.SSDT 可以做很多事情.比如可以防止进程被结束  
其实到了x64下.你也可以HOOK SSDT.只不过你需要过一下PatchGuard  
但是在你过不了PG的情况下.其实操作系统也给你提供了回调进行保护.  
这个回调 也可以称作 对象钩子(OBject)

这个回调主要函数则是 \*\* ObRegisterCallbacks() \*\*  
其实关于回调函数.去查询MSDN即可. 以前博客也有说过.只不过现在  
想重新写一下.

MSDN: [https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/content/wdm/nf-wdm-obregistercallbacks][https_docs.microsoft.com_en-us_windows-hardware_drivers_ddi_content_wdm_nf-wdm-obregistercallbacks]

这个函数其实就是不断的填写结构体即可. 根据MSDN说明去填写.

函数其实特别简单.参数1就是一个结构体,你去填写. 参数2就是一个句柄.当你卸载的时候会使用.

结构体中会包含一个结构体. 主要是为了你可以一次设置多个回调.  
新的结构体只不过是指定你要监控的类型以及回调函数地址.

唯一重点就是 在x64下.因为你没驱动签名的驱动则不能使用这些操作系统提供的回调.例如还有的 (PsSetCreateProcessEx) 等等.  
但是没事.因为国外早有人逆向出来为什么不能使用.而我们只需要设置一个标志即可.

只需要在程序入口处.添加代码即可.

如下:

PLDR_DATA_TABLE_ENTRY ldr;
        ldr = (PLDR_DATA_TABLE_ENTRY)DriverObject->DriverSection;
        ldr->Flags |= 0x20;//加载驱动的时候会判断此值。必须有特殊签名才行，增加0x20即可。否则将调用失败

结构体定义如下:

typedef struct _LDR_DATA_TABLE_ENTRY {
        LIST_ENTRY64    InLoadOrderLinks;
        LIST_ENTRY64    InMemoryOrderLinks;
        LIST_ENTRY64    InInitializationOrderLinks;
        PVOID            DllBase;
        PVOID            EntryPoint;
        ULONG            SizeOfImage;
        UNICODE_STRING    FullDllName;
        UNICODE_STRING     BaseDllName;
        ULONG            Flags;
        USHORT            LoadCount;
        USHORT            TlsIndex;
        PVOID            SectionPointer;
        ULONG            CheckSum;
        PVOID            LoadedImports;
        PVOID            EntryPointActivationContext;
        PVOID            PatchInformation;
        LIST_ENTRY64    ForwarderLinks;
        LIST_ENTRY64    ServiceTagLinks;
        LIST_ENTRY64    StaticLinks;
        PVOID            ContextInformation;
        ULONG            OriginalBase;
        LARGE_INTEGER    LoadTime;
    } LDR_DATA_TABLE_ENTRY, *PLDR_DATA_TABLE_ENTRY;

这里注意的大小即可.32位下.使用LIST\_ENTRY32即可.  
此时按照我们结构体进行填写.安装驱动即可.  
至于回调怎么写.自己查看MSDN看一下就明白了.你自己写你自己的回调函数即可.

如下:  
函数声明放到了Driver.h中.自己定义的头文件中.不影响.

### 1.2 代码 ###

#include "Driver.h"
    
    NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObj, PUNICODE_STRING pRegPath)
    {
        ULONG iCount = 0;
        NTSTATUS ntStatus;
        PLDR_DATA_TABLE_ENTRY ldr;
        ldr = (PLDR_DATA_TABLE_ENTRY)pDriverObj->DriverSection;
        ldr->Flags |= 0x20;
    
        pDriverObj->DriverUnload = DriverUnLoad;
        /*ntStatus = InitDeviceAnSybolicLinkName(pDriverObj);
        if (!NT_SUCCESS(ntStatus))
        {
            return ntStatus;
        }
    
        ntStatus = InitDisPatchFunction(pDriverObj);
        if (!NT_SUCCESS(ntStatus))
        {
            return ntStatus;
        }*/
        InitHook();
        return STATUS_SUCCESS;
    }
    //我们的回调函数
    OB_PREOP_CALLBACK_STATUS MyObjectCallBack(
        PVOID RegistrationContext,
        POB_PRE_OPERATION_INFORMATION OperationInformation
    )
    {
        DbgPrint("1111\r\n");
    
        return STATUS_SUCCESS;
    }
    PVOID g_ObjHandle;
    
    VOID InitHook()
    {
        //进行HOOK 回调钩子写法. 
        OB_OPERATION_REGISTRATION oper; //你的回调函数以及类型都放在这个结构体中,可以是结构体数组.
        OB_CALLBACK_REGISTRATION CallbackRegistration;
        CallbackRegistration.Version = OB_FLT_REGISTRATION_VERSION; //版本号
        CallbackRegistration.OperationRegistrationCount = 1;//下几个钩子,也就是结构体数组个数
        RtlUnicodeStringInit(&CallbackRegistration.Altitude, L"600000");//给个UNICODEstring表明您是干啥的
        CallbackRegistration.RegistrationContext = NULL;         //当你的回调函数到的时候参数是什么.由这里给出
        CallbackRegistration.OperationRegistration = &oper; //钩子结构体类型设置.
        //为钩子结构体赋值
        oper.ObjectType = PsProcessType; //进程操作的类型.当进程操作回来. PsThreadType则是线程操作
        oper.Operations = OB_OPERATION_HANDLE_CREATE; //操作的类型是将要打开.以及将要重复
        oper.PreOperation = MyObjectCallBack; //有两个指针,前指针跟后指针.意思分别是 进程创建之前通知你还是之后
        oper.PostOperation = NULL;
        ObRegisterCallbacks(&CallbackRegistration,&g_ObjHandle);
    }
    
    VOID UnHook()
    {
        ObUnRegisterCallbacks(g_ObjHandle);
    }

![1197364-20190724074544443-1793515529.png][]

### 1.3注意的问题 ###

编写代码的时候会发生蓝屏.原因是你设置前指针后.后指针需要设置为NULL  
因为如果是进程保护的话. 当创建进程的时候则会遍历对象数组.依次调用.  
而你的前指针会调用.而后指针没有设置为NULL.而是一个垃圾值所以就会引发蓝屏.  
这个是个需要注意的.

## 二丶丶回调函数写法 ##

### 2.1 遇到的问题. ###

关于回调函数中.我们相看访问权限.但是发现却没有.  
MSDN只是告诉你什么是什么.我们要怎么知道.  
首先先列出

#define PROCESS_TERMINATE         (0x0001)  // winnt
    #define PROCESS_CREATE_THREAD     (0x0002)  // winnt
    #define PROCESS_SET_SESSIONID     (0x0004)  // winnt
    #define PROCESS_VM_OPERATION      (0x0008)  // winnt
    #define PROCESS_VM_READ           (0x0010)  // winnt
    #define PROCESS_VM_WRITE          (0x0020)  // winnt
    // begin_ntddk begin_wdm begin_ntifs
    #define PROCESS_DUP_HANDLE        (0x0040)  // winnt
    // end_ntddk end_wdm end_ntifs
    #define PROCESS_CREATE_PROCESS    (0x0080)  // winnt
    #define PROCESS_SET_QUOTA         (0x0100)  // winnt
    #define PROCESS_SET_INFORMATION   (0x0200)  // winnt
    #define PROCESS_QUERY_INFORMATION (0x0400)  // winnt
    #define PROCESS_SET_PORT          (0x0800)
    #define PROCESS_SUSPEND_RESUME    (0x0800)  // winnt

然后查找WRK可以看得到.

![1197364-20190724080723983-261233520.png][]

然后我们可以单独在回调中写代码了.

### 2.2 回调代码 ###

NTKERNELAPI
    UCHAR * PsGetProcessImageFileName(__in PEPROCESS Process);
    
    
    OB_PREOP_CALLBACK_STATUS MyObjectCallBack(
        PVOID RegistrationContext,
        POB_PRE_OPERATION_INFORMATION OperationInformation
    )
    {
        PEPROCESS pProcess = NULL; 
        UCHAR *pszName = NULL;
    
        pProcess = (PEPROCESS)OperationInformation->Object;
        pszName = PsGetProcessImageFileName(pProcess);
    
        //判断标志是否要打开进程
        if (OperationInformation->Operation == OB_OPERATION_HANDLE_CREATE)
        {
            //获取名字匹配
            if (strstr(pszName, "calc"))
            {
                KdPrint(("%s \r\n", pszName));
                //判断是不是结束
                if ((OperationInformation->Parameters->CreateHandleInformation.OriginalDesiredAccess 
                    & PROCESS_TERMINATE) == 1)
                {
                    //如果是我们的.则设置DesiredAccess权限.去掉结束权限.
                    OperationInformation->Parameters->CreateHandleInformation.DesiredAccess 
                        = ~PROCESS_TERMINATE;
                    return STATUS_UNSUCCESSFUL;
                }
            }
        }
    
    
        return STATUS_SUCCESS;
    }

![1197364-20190724081701997-856345698.png][]

转载于:https://www.cnblogs.com/iBinary/p/11235827.html

[https_docs.microsoft.com_en-us_windows-hardware_drivers_ddi_content_wdm_nf-wdm-obregistercallbacks]: https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/content/wdm/nf-wdm-obregistercallbacks
[1197364-20190724074544443-1793515529.png]: /images/20211104/e74e3d271c574a4e82fc5586e4fc3474.png
[1197364-20190724080723983-261233520.png]: /images/20211104/7a9e9eda5ab444e8a37f01e443efeadc.png
[1197364-20190724081701997-856345698.png]: /images/20211104/32783bfef4194c919dbab92b2f2cba46.png