2.6、自寫(xiě)驅(qū)動(dòng)保護(hù)xx進(jìn)程hook ssdt-32課

1、2.6、自寫(xiě)驅(qū)動(dòng)保護(hù)XX進(jìn)程(HOOK SSDT)-32 課時(shí)一、以28課的代碼為例 新建一個(gè)hook.h單#pragma once #ifdef extern C#include /這里包含需要用C方式編譯的頭文#ifdef /#includebool ssdthook_flag=false;RealNtOpenAddress; /定義指針/定義要保護(hù)的線程/ A、構(gòu)建自己的內(nèi)核函數(shù)（用來(lái)替換對(duì)應(yīng)的內(nèi)核函/ 定義一下NtOpenProcess的原extern Cstdcall NTOPENPROCESS /定義函數(shù)(OUTPHANDLEProcessHandle, IN ACCESS_MAS

2、K AccessMask,INPCLIENT_IDRealNtOpenProcess;/定義函數(shù)指針 / 自定義的NtOpenProcess函#pragmaextern C NTSTATUS stdcallPHANDLEProcessHandle, ACCESS_MASK DesiredAccess,POBJECT_ATTRIBUTES ObjectAttributes, PCLIENT_ID ClientId ) / ClientId參數(shù)就取得了要訪問(wèn)的進(jìn)KdPrint(+Entry MyNtOpenProcess int +n); rc = (NTSTATUS)RealNtOpenProc

3、ess( ProcessHandle, ObjectAttributes,ClientId );/用RC做返回值,RealNtOpenProcss是原來(lái)真實(shí)的 NtOpenProcss函數(shù)在HOOK之前保存的原始地址，如果用int*定義的話,那么只能用匯編進(jìn)行訪問(wèn)了if(ClientId!=NULL)PID = ClientId-UniqueProcess;KdPrint( PID=%dn,(int*)PID);/ 如果是被保護(hù)的PID，則拒絕訪問(wèn)，并將句柄設(shè)置為if(PID=KdPrint(被保護(hù)進(jìn)程MyPID=%dn,(int)MyPID); / 顯示調(diào)試信/調(diào)試輸出 類似C語(yǔ)言的 Pri

4、ntf ProcessHandleNULL這個(gè)是關(guān)rc = STATUS_ACCESS_DENIED; /這個(gè)返回值表示拒絕訪/取得調(diào)用 NtOpenProcess 函數(shù)的結(jié)構(gòu)用-:%s-n,(PTSTR)(ULONG)EP+0 x174);/ 顯示調(diào)試信returnrc返回權(quán)/HOOK 函數(shù)構(gòu)建 VOID Hook()LONGKdPrint(驅(qū)動(dòng)成功被加載/讀取SSDT表中索引值為0 x7A的函RealNtOpenAddress = *SSDT_Adr;RealNtOpenProcess=(NTOPENPROCESS*)RealNtOpenAddress;/用于調(diào)用KdPrint(真實(shí)的Nt

5、OpenProcess地址%xn,(intRealNtOpenAddress打印息KdPrint( 偽造NTOpenProcess地址: %xn, (int)MyNtOpenProcess /打印息asm /去掉頁(yè)面保movandeax,not10000h/andeax,0FFFEFFFFh mov cr0,eax*SSDT_Adr= (ULONG)MyNtOpenProcess; /替換成偽造函數(shù)地址,關(guān)鍵語(yǔ)句!相當(dāng)eax, cr0 eax,10000h cr0, eax /UnHook函數(shù)構(gòu)#pragma PAGECODEVOIDULONGOld_ssdtULONG)KeServiceDe

6、scriptorTable-ServiceTableBase0 x7A*4;通/如果HOOK標(biāo)志為真則還eax,eax,notcr0,/ 還原*(ULONG*)Old_ssdt) = (ULONG)RealNtOpenAddress; /將以前的代碼再寫(xiě)回,必eax, cr0 eax,10000h cr0, eax KdPrint(UnHook還原SSDT OK 二、修改ctl_code.h 頭文/ctl_code.h 修改如下/郁金香灬外掛技術(shù) HYPERLINK / QQ150330575 #pragmamessage(nnEXEIncludewinioctl.h #include /CTL_CODE ntddk.h wdm.h#pragmamessage(-nSYS模式NOIncludewinioctl.h四、修改SYS部分源代將上節(jié)課講的代碼實(shí)際編寫(xiě),老師已經(jīng)將代碼寫(xiě)好了,新建一個(gè)hook