分享逆向分析并重组源码的过程

大夫

又屈服在goldberg的淫威下了。麻痹，一提到此人我就性趣勃勃。或许是他给俺力量，刚和他聊完，就怀上了这篇文章，由此可见，goldberg的能力之强。废话少说了，文章开始临盆。

1. .text:0001045A
   
2. .text:0001045A ; Attributes: bp-based frame
   
3. .text:0001045A
   
4. .text:0001045A                public start
   
5. .text:0001045A start          proc near
   
6. .text:0001045A                push    ebp  ;很多时候，我们把push 一个数据作为一个
   
7. ;函数的参数对待。但是push也可以保存临时值。
   
8. 
   
9. .text:0001045B                mov    ebp, esp        ; 把esp保存到ebp中去,开始进入函数体
   
10. .text:0001045D                push    offset s_PI    ; "驱动入口/r/n"
    
11. .text:00010462                call    DbgPrint        ; 格式化输出
    
12. .text:00010462
    
13. .text:00010467                add    esp, 4          ; 堆栈由函数自己清除
    
14. .text:0001046A                call    sub_10260      ; 调用一个子函数
    
15. .text:0001046A
    
16. .text:0001046F                call    sub_10309      ; 调用一个子函数
    
17. .text:0001046F
    
18. .text:00010474                call    sub_10397      ; 调用一个子函数
    
19. .text:00010474
    
20. .text:00010479                push    offset asc_1068C ; "执行完退出/r/n/r/n"
    
21. .text:0001047E                call    DbgPrint        ; 函数执行完毕
    
22. .text:0001047E
    
23. .text:00010483                add    esp, 4          ; 这里和上面一样，C的规则，由函数自己清空堆栈。汇编和C都沿用stdcall，必须这样
    
24. .text:00010486                mov    eax, 0C0000182h ; 这里是驱动程序的返回，即 mov eax,STATUS_DEVICE_CONFIGURATION_ERROR
    
25. .text:0001048B                leave
    
26. .text:0001048C                retn    8
    
27. .text:0001048C
    
28. .text:0001048C start          endp
    
29. 
    
30. 
    
31. 
    
32.   这里，我们已经构造出整个程序的结构。即：格式化打印信息-----分别调用三个子函数-------程序返回。这样一来，就可以重组出这个代码的框架：
    
33. 
    
34. 
    
35. Copy code
    
36. .386
    
37. .model flat, stdcall
    
38. option casemap:none
    
39. ;
    
40. ;这里包含用到的头文件和库。具体是哪个，还得进一步分析这个程序到底有到哪些函数
    
41. 
    
42. .data?
    
43. .
    
44. .data
    
45. .
    
46. .const
    
47. 
    
48. .code
    
49. ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
50. DriverEntry proc pDriverObject:PDRIVER_OBJECT, pusRegistryPath:PUNICODE_STRING
    
51. 
    
52. Invoke DbgPrint,CTXT(“驱动入口”)
    
53. 
    
54. call    sub_10260 ;调用第一个子函数，姑且这么写
    
55. call    sub_10309
    
56. call    sub_10397
    
57. 
    
58. Invoke DbgPrint,CTXT(“程序结束”)
    
59. mov eax,STATUS_DEVICE_CONFIGURATION_ERROR
    
60. ret
    
61. DriverEntry endp
    
62. ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
63. end DriverEntry
    
64. 
    

复制代码

就像建筑一栋大楼，把主干已经弄好，现在轮到添枝加叶。先看第一个子函数sub_10260。这里直接call调用了，所以就不存在任何参数传递。

1. .text:00010260 sub_10260      proc near         
   
2. .text:00010260
   
3. .text:00010260 Handle          = dword ptr -24h ; 参数定义。如果是正的，就是局部变量
   
4. .text:00010260 IoStatusBlock  = _IO_STATUS_BLOCK ptr -20h ;参数。这里IDA也已经给出结构
   
5. .text:00010260 ObjectAttributes= OBJECT_ATTRIBUTES ptr -18h
   
6. .text:00010260
   
7. .text:00010260                push    ebp
   
8. .text:00010261                mov    ebp, esp
   
9. .text:00010263                add    esp, 0FFFFFFDCh
   
10. .text:00010266                push    ds:off_10538
    
11. .text:0001026C                push    offset Format  ; "创建目录: %ws /r/n"
    
12. .text:00010271                call    DbgPrint        ; %ws是Unicode,在内核中是使用Unicode
    
13. .text:00010271
    
14. .text:00010276                add    esp, 8
    
15. .text:00010279                lea    ecx, [ebp+ObjectAttributes] ; 初始化OBJ_CASE_INSENSITIV
    
16. .text:0001027C                mov    dword ptr [ecx], 18h
    
17. .text:00010282                and    dword ptr [ecx+4], 0
    
18. .text:00010286                mov    dword ptr [ecx+0Ch], 240h
    
19. .text:0001028D                and    dword ptr [ecx+10h], 0
    
20. .text:00010291                mov    dword ptr [ecx+8], offset asc_10534 ; " /""
    
21. .text:00010298                and    dword ptr [ecx+14h], 0
    
22. .text:0001029C                push    0              ; EaLength
    
23. .text:0001029E                push    0              ; EaBuffer
    
24. .text:000102A0                push    21h            ; CreateOptions
    
25. .text:000102A2                push    3              ; CreateDisposition
    
26. .text:000102A4                push    0              ; ShareAccess
    
27. .text:000102A6                push    80h            ; FileAttributes
    
28. .text:000102AB                push    0              ; AllocationSize
    
29. .text:000102AD                lea    eax, [ebp+IoStatusBlock]
    
30. .text:000102B0                push    eax            ; IoStatusBlock
    
31. .text:000102B1                lea    eax, [ebp+ObjectAttributes]
    
32. .text:000102B4                push    eax            ; ObjectAttributes
    
33. .text:000102B5                push    100000h        ; DesiredAccess
    
34. .text:000102BA                lea    eax, [ebp+Handle]
    
35. .text:000102BD                push    eax            ; FileHandle
    
36. .text:000102BE                call    ZwCreateFile    ; 打开。内核中创建目录，
    
37.                                                       ;创建文件都使用这个函数
    
38. .text:000102BE
    
39. .text:000102C3                or      eax, eax        ; 返回值是否成功
    
40. .text:000102C5                jnz    short loc_102F9 ; 不成功就跳到这里，
    
41.                                                       ;恰恰它格式化的代码已经提示我们，
    
42.                                                       ;目录创建失败
    
43. .text:000102C5
    
44. .text:000102C7                cmp    [ebp+IoStatusBlock.Information], 2 ; 这里查看文件的属性。
    
45.                                                                           ;2代表FILE_CREATED
    
46. .text:000102CB                jnz    short loc_102DC ; 跳到 loc_102DC
    
47. .text:000102CB
    
48. .text:000102CD                push    offset s_I      ; "目录创建/r/n"
    
49. .text:000102D2                call    DbgPrint
    
50. .text:000102D2
    
51. .text:000102D7                add    esp, 4          ; 恢复堆栈
    
52. .text:000102DA                jmp    short loc_102EF ; 目录创建之后，就要关闭句柄
    
53. .text:000102DA
    
54. .text:000102DC ; ---------------------------------------------------------------------------
    
55. .text:000102DC
    
56. .text:000102DC loc_102DC:                          
    
57. .text:000102DC                cmp    [ebp+IoStatusBlock.Information], 1 ; 测试文件的FILE_OPENED                                                                          ;属性。很明显，是.if--                                                                            ;-.elseif--.endif的结构
    
58. .text:000102E0                jnz    short loc_102EF
    
59. .text:000102E0
    
60. .text:000102E2                push    offset s_KJ    ; "目录共享/r/n"
    
61. .text:000102E7                call    DbgPrint
    
62. .text:000102E7
    
63. .text:000102EC                add    esp, 4
    
64. .text:000102EC
    
65. .text:000102EF
    
66. .text:000102EF loc_102EF:                           
    
67. .text:000102EF                                       
    
68. .text:000102EF                push    [ebp+Handle]    ; Handle
    
69. .text:000102F2                call    ZwClose        ; 两个属性测试完毕，目录才真正创建成功~！
    
70. .text:000102F2
    
71. .text:000102F7                jmp    short locret_10307 ; 函数返回
    
72. .text:000102F7
    
73. .text:000102F9 ; ---------------------------------------------------------------------------
    
74. .text:000102F9
    
75. .text:000102F9 loc_102F9:                           
    
76. .text:000102F9                push    eax
    
77. .text:000102FA                push    offset s_IIAI08x ; "无法创建目录,错误代码 %08X/r/n"
    
78. .text:000102FF                call    DbgPrint
    
79. .text:000102FF
    
80. .text:00010304                add    esp, 8
    
81. .text:00010304
    
82. .text:00010307
    
83. .text:00010307 locret_10307:                          
    
84. .text:00010307                leave                  ; 程序返回
    
85. .text:00010308                retn
    
86. .text:00010308
    
87. .text:00010308 sub_10260      endp
    
88. 
    

复制代码

首先这个子函数初始化OBJ_CASE_INSENSITIV结构。这个结构是这样的：
ObjectAttributes  OBJECT_ATTRIBUTES<?>。接着打印要创建的目录名。代码：

.const
CCOUNTED_UNICODE_STRING "//??//c://fuck", g_usDirName, 4
.
.
invoke DbgPrint, $CTA0("/创建目录: %ws /n"), g_usDirName.Buffer

在创建目录后同时测试其属性，分别打印。下面是重组的代码：

1. CreateDirectory proc
   
2. local oa:OBJECT_ATTRIBUTES
   
3. local iosb:IO_STATUS_BLOCK
   
4. local hDirectory:HANDLE
   
5. ;------------------------------------------------------------
   
6. ;Unicode格式化输出目录名。在内核使用Unicode
   
7. ;------------------------------------------------------------
   
8. invoke DbgPrint, $CTA0("创建目录: %ws "), g_usDirName.Buffer
   
9.   ;------------------------------------------------------------
   
10. ; 初始化OBJ_CASE_INSENSITIVE，oa作为参数传递给ZwCreateFile
    
11. ;------------------------------------------------------------
    
12. InitializeObjectAttributes addr oa, addr g_usDirName, /
    
13.       OBJ_CASE_INSENSITIVE + OBJ_KERNEL_HANDLE, NULL, NULL   
    
14. invoke ZwCreateFile, addr hDirectory, SYNCHRONIZE, addr oa, addr iosb, 0, FILE_ATTRIBUTE_NORMAL, /
    
15.       0, FILE_OPEN_IF, FILE_DIRECTORY_FILE + FILE_SYNCHRONOUS_IO_NONALERT, NULL, 0
    
16. .if eax == STATUS_SUCCESS
    
17.   ;------------------------------------------------------------
    
18.   ;文件创建属性
    
19.   ;------------------------------------------------------------
    
20.   .if iosb.Information == FILE_CREATED
    
21.   invoke DbgPrint, $CTA0("目录创建")
    
22.   ;------------------------------------------------------------
    
23.   ;文件共享属性      
    
24.   ;------------------------------------------------------------
    
25.   .elseif iosb.Information == FILE_OPENED
    
26.   invoke DbgPrint, $CTA0("目录共享")
    
27.   .endif
    
28.   invoke ZwClose, hDirectory
    
29. .else
    
30.   ;------------------------------------------------------------
    
31.   ;格式化输出，创建目录失败！
    
32.   ;------------------------------------------------------------
    
33.   invoke DbgPrint, $CTA0("无法创建目录,错误代码 %08X"), eax
    
34. .endif
    
35. ret
    
36. CreateDirectory endp
    
37. 
    
38. 
    
39. 
    
40.   现在来看第二个子函数sub_10309。
    
41. 
    
42. 
    
43. Copy code
    
44. .text:00010309 sub_10309      proc near              
    
45. .text:00010309
    
46. .text:00010309 Handle          = dword ptr -24h  ;函数句柄
    
47. .text:00010309 IoStatusBlock  = _IO_STATUS_BLOCK ptr -20h ;IO_STATUS_BLOCK结构
    
48. .text:00010309 ObjectAttributes= OBJECT_ATTRIBUTES ptr -18h ;OBJECT_ATTRIBUTES结构
    
49. .text:00010309
    
50. .text:00010309                push    ebp
    
51. .text:0001030A                mov    ebp, esp
    
52. .text:0001030C                add    esp, 0FFFFFFDCh
    
53. .text:0001030F                push    ds:off_1050C
    
54. .text:00010315                push    offset s_IWs_0  ; "创建文件 %ws /r/n"
    
55. .text:0001031A                call    DbgPrint        ; 这段代码很熟悉吧 :)
    
56. .text:0001031A
    
57. .text:0001031F                add    esp, 8
    
58. .text:00010322                lea    ecx, [ebp+ObjectAttributes] ; 这段是不是也很熟悉 :)
    
59. .text:00010325                mov    dword ptr [ecx], 18h
    
60. .text:0001032B                and    dword ptr [ecx+4], 0
    
61. .text:0001032F                mov    dword ptr [ecx+0Ch], 240h
    
62. .text:00010336                and    dword ptr [ecx+10h], 0
    
63. .text:0001033A                mov    dword ptr [ecx+8], offset s_24 ; "24"
    
64. .text:00010341                and    dword ptr [ecx+14h], 0
    
65. .text:00010345                push    0              ; EaLength
    
66. .text:00010347                push    0              ; EaBuffer
    
67. .text:00010349                push    20h            ; CreateOptions
    
68. .text:0001034B                push    2              ; CreateDisposition
    
69. .text:0001034D                push    0              ; ShareAccess
    
70. .text:0001034F                push    80h            ; FileAttributes
    
71. .text:00010354                push    0              ; AllocationSize
    
72. .text:00010356                lea    eax, [ebp+IoStatusBlock]
    
73. .text:00010359                push    eax            ; IoStatusBlock
    
74. .text:0001035A                lea    eax, [ebp+ObjectAttributes]
    
75. .text:0001035D                push    eax            ; ObjectAttributes
    
76. .text:0001035E                push    100000h        ; DesiredAccess
    
77. .text:00010363                lea    eax, [ebp+Handle]
    
78. .text:00010366                push    eax            ; FileHandle
    
79. .text:00010367                call    ZwCreateFile    ; 刚多说了，创建目录和创建文件都使用这个
    
80. .text:00010367
    
81. .text:0001036C                or      eax, eax
    
82. .text:0001036E                jnz    short loc_10387
    
83. .text:0001036E
    
84. .text:00010370                push    offset s_IJ    ; "文件创建成功/r/n"
    
85. .text:00010375                call    DbgPrint        ; 他已经提示我们文件创建成功了
    
86. .text:00010375
    
87. .text:0001037A                add    esp, 4
    
88. .text:0001037D                push    [ebp+Handle]    ; Handle
    
89. .text:00010380                call    ZwClose        ; 关闭句柄
    
90. .text:00010380
    
91. .text:00010385                jmp    short locret_10395 ; 交还控制权
    
92. .text:00010385
    
93. .text:00010387 ; ---------------------------------------------------------------------------
    
94. .text:00010387
    
95. .text:00010387 loc_10387:                          
    
96. .text:00010387                push    eax
    
97. .text:00010388                push    offset s_IZAI08x ; "文件创建失败,错误代码: %08X/r/n"
    
98. .text:0001038D                call    DbgPrint
    
99. .text:0001038D
    
100. .text:00010392                add    esp, 8          ; 清除堆栈
     
101. .text:00010392
     
102. .text:00010395
     
103. .text:00010395 locret_10395:                        
     
104. .text:00010395                leave                  ; 每一个程序的最后都要把控制权交给主程序
     
105. .text:00010396                retn
     
106. .text:00010396
     
107. .text:00010396 sub_10309      endp
     
108. 
     

复制代码

和创建目录的一样，创建文件也是初始化OBJECT_ATTRIBUTES，调用ZwCreateFile。下面是源码：

1. CreateFile proc
   
2. local oa:OBJECT_ATTRIBUTES
   
3. local iosb:IO_STATUS_BLOCK
   
4. local hFile:HANDLE
   
5. ;-----------------------------------------------------------
   
6. ;
   
7. ;格式化输出创建的文件名。在内核中使用Unicode
   
8. ;Buffer缓冲区保存着文件路径
   
9. ;
   
10. ;-----------------------------------------------------------
    
11. invoke DbgPrint, $CTA0("创建文件 %ws "), g_usFileName.Buffer
    
12. ;-----------------------------------------------------------
    
13.   ;初始化OBJ_CASE_INSENSITIVE结构
    
14.   ;-----------------------------------------------------------
    
15. InitializeObjectAttributes addr oa, addr g_usFileName, /
    
16.       OBJ_CASE_INSENSITIVE + OBJ_KERNEL_HANDLE, NULL, NULL
    
17. ;-----------------------------------------------------------   
    
18.   ;打开文件
    
19.   ;-----------------------------------------------------------
    
20. invoke ZwCreateFile, addr hFile, SYNCHRONIZE, addr oa, addr iosb, 0, FILE_ATTRIBUTE_NORMAL, /
    
21.       0, FILE_CREATE, FILE_SYNCHRONOUS_IO_NONALERT, NULL, 0
    
22. .if eax == STATUS_SUCCESS
    
23.   invoke DbgPrint, $CTA0("文件创建成功")
    
24.   invoke ZwClose, hFile
    
25. .else
    
26.   invoke DbgPrint, $CTA0("文件创建失败,错误代码: %08X"), eax
    
27. .endif
    
28. ret
    
29. CreateFile endp
    
30. 
    
31. 
    
32. 
    
33.   最后一个子函数sub_10397
    
34. 
    
35. 
    
36. Copy code
    
37. .text:00010397 sub_10397      proc near        
    
38. .text:00010397
    
39. .text:00010397 Handle          = dword ptr -24h
    
40. .text:00010397 IoStatusBlock  = _IO_STATUS_BLOCK ptr -20h
    
41. .text:00010397 ObjectAttributes= OBJECT_ATTRIBUTES ptr -18h
    
42. .text:00010397
    
43. .text:00010397                push    ebp
    
44. .text:00010398                mov    ebp, esp
    
45. .text:0001039A                add    esp, 0FFFFFFDCh
    
46. .text:0001039D                push    offset s_KI    ; "打开文件准备写入数据/r/n"
    
47. .text:000103A2                call    DbgPrint
    
48. .text:000103A2
    
49. .text:000103A7                add    esp, 4
    
50. .text:000103AA                lea    ecx, [ebp+ObjectAttributes]
    
51. .text:000103AD                mov    dword ptr [ecx], 18h
    
52. .text:000103B3                and    dword ptr [ecx+4], 0
    
53. .text:000103B7                mov    dword ptr [ecx+0Ch], 240h
    
54. .text:000103BE                and    dword ptr [ecx+10h], 0
    
55. .text:000103C2                mov    dword ptr [ecx+8], offset s_24 ; "24"
    
56. .text:000103C9                and    dword ptr [ecx+14h], 0
    
57. .text:000103CD                push    0              ; EaLength
    
58. .text:000103CF                push    0              ; EaBuffer
    
59. .text:000103D1                push    20h            ; CreateOptions
    
60. .text:000103D3                push    1              ; CreateDisposition
    
61. .text:000103D5                push    1              ; ShareAccess
    
62. .text:000103D7                push    0              ; FileAttributes
    
63. .text:000103D9                push    0              ; AllocationSize
    
64. .text:000103DB                lea    eax, [ebp+IoStatusBlock]
    
65. .text:000103DE                push    eax            ; IoStatusBlock
    
66. .text:000103DF                lea    eax, [ebp+ObjectAttributes]
    
67. .text:000103E2                push    eax            ; ObjectAttributes
    
68. .text:000103E3                push    100002h        ; DesiredAccess
    
69. .text:000103E8                lea    eax, [ebp+Handle]
    
70. .text:000103EB                push    eax            ; FileHandle
    
71. .text:000103EC                call    ZwCreateFile    ; 打开我们刚创建的文件
    
72. .text:000103EC
    
73. .text:000103F1                or      eax, eax
    
74. .text:000103F3                jnz    short loc_1044A ; 无法写入文件
    
75. .text:000103F3
    
76. .text:000103F5                push    offset s_KJ_0  ; "文件打开成功/r/n"
    
77. .text:000103FA                call    DbgPrint
    
78. .text:000103FA
    
79. .text:000103FF                add    esp, 4
    
80. .text:00010402                push    0              ; Key
    
81. .text:00010404                push    0              ; ByteOffset
    
82. .text:00010406                push    4Dh            ; Length
    
83. .text:00010408                push    offset Buffer  ; "这里是文件的内容"
    
84. .text:0001040D                lea    eax, [ebp+IoStatusBlock]
    
85. .text:00010410                push    eax            ; IoStatusBlock
    
86. .text:00010411                push    0              ; ApcContext
    
87. .text:00010413                push    0              ; ApcRoutine
    
88. .text:00010415                push    0              ; Event
    
89. .text:00010417                push    [ebp+Handle]    ; FileHandle
    
90. .text:0001041A                call    ZwWriteFile    ; 写入数据。
    
91. .text:0001041A
    
92. .text:0001041F                or      eax, eax
    
93. .text:00010421                jnz    short loc_10432
    
94. .text:00010421
    
95. .text:00010423                push    offset s_IJ_0  ; "文件写入成功/r/n"
    
96. .text:00010428                call    DbgPrint
    
97. .text:00010428
    
98. .text:0001042D                add    esp, 4
    
99. .text:00010430                jmp    short loc_10440
    
100. .text:00010430
     
101. .text:00010432 ; ---------------------------------------------------------------------------
     
102. .text:00010432
     
103. .text:00010432 loc_10432:                           
     
104. .text:00010432                push    eax
     
105. .text:00010433                push    offset s_IIAI08x_0 ; "无法写入文件,错误代码: %08X/r/n"
     
106. .text:00010438                call    DbgPrint
     
107. .text:00010438
     
108. .text:0001043D                add    esp, 8
     
109. .text:0001043D
     
110. .text:00010440
     
111. .text:00010440 loc_10440:                           
     
112. .text:00010440                push    [ebp+Handle]    ; Handle
     
113. .text:00010443                call    ZwClose
     
114. .text:00010443
     
115. .text:00010448                jmp    short locret_10458
     
116. .text:00010448
     
117. .text:0001044A ; ---------------------------------------------------------------------------
     
118. .text:0001044A
     
119. .text:0001044A loc_1044A:                           
     
120. .text:0001044A                push    eax
     
121. .text:0001044B                push    offset s_IKAI08x ; "无法打开文件,错误代码: %08X/r/n"
     
122. .text:00010450                call    DbgPrint
     
123. .text:00010450
     
124. .text:00010455                add    esp, 8
     
125. .text:00010455
     
126. .text:00010458
     
127. .text:00010458 locret_10458:                          ;提交控制权
     
128. .text:00010458                leave
     
129. .text:00010459                retn
     
130. .text:00010459
     
131. .text:00010459 sub_10397      endp
     
132. 
     

复制代码

到此，三个未知的子函数已经逐一逆向出源码。程序的流程我们已经很清楚---创建目录----创建文件----写入数据到文件。现在整理一下得出完整代码：

1. ;-----------------------------------------------
   
2. ;
   
3. ;code by  asm
   
4. ;
   
5. ;-----------------------------------------------
   
6. .386
   
7. .model flat, stdcall
   
8. option casemap:none
   
9. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
   
10. include w2k/ntstatus.inc
    
11. include w2k/ntifs.inc
    
12. include w2k/ntoskrnl.inc
    
13. includelib ntoskrnl.lib
    
14. include Strings.mac
    
15. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
    
16. ;利用宏定义文件路径和目录，还可以这样做：
    
17. ;g_usFileName dw '/','?','?','c',':','/','F','i','l','e','W','o','r','k','s','/','t','e','s','t','.','t','x','t',0
    
18. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
    
19. .const
    
20. CCOUNTED_UNICODE_STRING "//??//c://fuck//test.txt", g_usFileName, 4
    
21. CCOUNTED_UNICODE_STRING "//??//c://fuck", g_usDirName, 4
    
22. ;CTA0 "fuck the world", g_szData,4
    
23. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
    
24. .code
    
25. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
    
26. ;创建目录函数                                            
    
27. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
    
28. CreateDirectory proc
    
29. local oa:OBJECT_ATTRIBUTES
    
30. local iosb:IO_STATUS_BLOCK
    
31. local hDirectory:HANDLE
    
32. ;------------------------------------------------------------
    
33. ;Unicode格式化输出目录名。在内核使用Unicode
    
34. ;------------------------------------------------------------
    
35. invoke DbgPrint, $CTA0("创建目录: %ws "), g_usDirName.Buffer
    
36.   ;------------------------------------------------------------
    
37. ; 初始化OBJ_CASE_INSENSITIVE，oa作为参数传递给ZwCreateFile
    
38. ;------------------------------------------------------------
    
39. InitializeObjectAttributes addr oa, addr g_usDirName, /
    
40.       OBJ_CASE_INSENSITIVE + OBJ_KERNEL_HANDLE, NULL, NULL   
    
41. invoke ZwCreateFile, addr hDirectory, SYNCHRONIZE, addr oa, addr iosb, 0, FILE_ATTRIBUTE_NORMAL, /
    
42.       0, FILE_OPEN_IF, FILE_DIRECTORY_FILE + FILE_SYNCHRONOUS_IO_NONALERT, NULL, 0
    
43. .if eax == STATUS_SUCCESS
    
44.   ;------------------------------------------------------------
    
45.   ;文件创建属性
    
46.   ;------------------------------------------------------------
    
47.   .if iosb.Information == FILE_CREATED
    
48.   invoke DbgPrint, $CTA0("目录创建")
    
49.   ;------------------------------------------------------------
    
50.   ;文件共享属性      
    
51.   ;------------------------------------------------------------
    
52.   .elseif iosb.Information == FILE_OPENED
    
53.   invoke DbgPrint, $CTA0("目录共享")
    
54.   .endif
    
55.   invoke ZwClose, hDirectory
    
56. .else
    
57.   ;------------------------------------------------------------
    
58.   ;格式化输出，创建目录失败！
    
59.   ;------------------------------------------------------------
    
60.   invoke DbgPrint, $CTA0("无法创建目录,错误代码 %08X"), eax
    
61. .endif
    
62. ret
    
63. CreateDirectory endp
    
64. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
    
65. ;
    
66. ;打开创建一个文件
    
67. ;
    
68. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
    
69. CreateFile proc
    
70. local oa:OBJECT_ATTRIBUTES
    
71. local iosb:IO_STATUS_BLOCK
    
72. local hFile:HANDLE
    
73. ;-----------------------------------------------------------
    
74. ;
    
75. ;格式化输出创建的文件名。在内核中使用Unicode
    
76. ;Buffer缓冲区保存着文件路径
    
77. ;
    
78. ;-----------------------------------------------------------
    
79. invoke DbgPrint, $CTA0("创建文件 %ws "), g_usFileName.Buffer
    
80. ;-----------------------------------------------------------
    
81.   ;初始化OBJ_CASE_INSENSITIVE结构
    
82.   ;-----------------------------------------------------------
    
83. InitializeObjectAttributes addr oa, addr g_usFileName, /
    
84.       OBJ_CASE_INSENSITIVE + OBJ_KERNEL_HANDLE, NULL, NULL
    
85. ;-----------------------------------------------------------   
    
86.   ;打开文件
    
87.   ;-----------------------------------------------------------
    
88. invoke ZwCreateFile, addr hFile, SYNCHRONIZE, addr oa, addr iosb, 0, FILE_ATTRIBUTE_NORMAL, /
    
89.       0, FILE_CREATE, FILE_SYNCHRONOUS_IO_NONALERT, NULL, 0
    
90. .if eax == STATUS_SUCCESS
    
91.   invoke DbgPrint, $CTA0("文件创建成功")
    
92.   invoke ZwClose, hFile
    
93. .else
    
94.   invoke DbgPrint, $CTA0("文件创建失败,错误代码: %08X"), eax
    
95. .endif
    
96. ret
    
97. CreateFile endp
    
98. 
    
99. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
    
100. ;
     
101. ;开始把内容写入这个文件当中      
     
102. ;
     
103. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
     
104. WriteFile proc
     
105. local oa:OBJECT_ATTRIBUTES
     
106. local iosb:IO_STATUS_BLOCK
     
107. local hFile:HANDLE
     
108.   ;相当于C中的printf
     
109. invoke DbgPrint, $CTA0("打开文件准备写入数据")
     
110. 
     
111. InitializeObjectAttributes addr oa, addr g_usFileName, /
     
112.       OBJ_CASE_INSENSITIVE + OBJ_KERNEL_HANDLE, NULL, NULL
     
113.   ;-----------------------------------------------------------
     
114.   ;
     
115.   ; ZwCreateFile 用来打开文件，所以属性必须指定.
     
116.   ; 如果要对文件进行写操作，可以指定FILE_WRITE_DATA权限，这个和ring3一样
     
117.   ;
     
118.   ;-----------------------------------------------------------
     
119. invoke ZwCreateFile, addr hFile, FILE_WRITE_DATA + SYNCHRONIZE, addr oa, addr iosb, /
     
120.       0, 0, FILE_SHARE_READ, FILE_OPEN, FILE_SYNCHRONOUS_IO_NONALERT, NULL, 0
     
121. .if eax == STATUS_SUCCESS
     
122.   invoke DbgPrint, $CTA0("文件打开成功")
     
123.   ;-----------------------------------------------------------
     
124.   ;
     
125.       ;这里是文件内容，使用了CTA0 宏，也可以在.const段来定义
     
126.       ;CTA0 "Data can be written to an open file", g_szData,4
     
127.       ;使用何种定义，都是个人偏好。下面代码就没什么好注释的了
     
128.       ;
     
129.       ;-----------------------------------------------------------
     
130.       
     
131.       CTA0 "看KmdKit爽爽中,其内附一代码,其内容过于复杂,删几段修改测试之,成功,乃大喜,记之.",g_szData,4
     
132.   invoke ZwWriteFile, hFile, 0, NULL, NULL, addr iosb, /
     
133.       addr g_szData, sizeof g_szData - 1, NULL, NULL
     
134.   .if eax == STATUS_SUCCESS
     
135.   invoke DbgPrint, $CTA0("文件写入成功")
     
136.   .else
     
137.   invoke DbgPrint, $CTA0("无法写入文件,错误代码: %08X"), eax
     
138.   .endif
     
139. 
     
140.   invoke ZwClose, hFile
     
141. .else
     
142.   invoke DbgPrint, $CTA0("无法打开文件,错误代码: %08X"), eax
     
143. .endif
     
144. 
     
145. ret
     
146. 
     
147. WriteFile endp                                          
     
148. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
     
149. ;
     
150. ;驱动程序入口处
     
151. ;
     
152. ;:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
     
153. 
     
154. DriverEntry proc pDriverObject:PDRIVER_OBJECT, pusRegistryPath:PUNICODE_STRING
     
155. 
     
156. invoke DbgPrint, $CTA0("驱动入口")
     
157. ;---------------------------------------------------------------------
     
158. ;调用函数创建一个目录.刚测试了一下,要创建一个文件,必须先创建其目录.
     
159. ;这个ZwCreateFile不像ring3的一样,必须要创建文件的目录后,才能创建文件.
     
160. ;---------------------------------------------------------------------
     
161. invoke CreateDirectory
     
162. invoke CreateFile      ;创建一个文件
     
163. invoke WriteFile      ;把内容写到此文件中
     
164. 
     
165. invoke DbgPrint, $CTA0("执行完退出")
     
166. mov eax, STATUS_DEVICE_CONFIGURATION_ERROR ;获取失败消息返回
     
167. ret
     
168. DriverEntry endp
     
169. ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
     
170. end DriverEntry
     
171. 
     

复制代码

很简单的一个驱动程序。关于文件操作的。俺喜欢用IDA对程序进行白箱测试，有牛人说，学汇编最好的方法就是反汇编别人的程序。这句话俺深有体会。逆向技术在商业领域用途更广，并且逆向技术已经合法话，玩这个的更有发挥的空间。俺曾经听过一句铞言：给我一个可执行文件，我可以还你一份源码。可见威力。可惜俺的逆向功底不深，对驱动的逆向难免存在遗漏，请大大们指出，俺一定会改正。

    当然，要对驱动的结构有很深的了解才能够分析。但是有些程序是exe的，但是却使用ntdll.dll里的函数，比如系统进程 lsass.exe。这里我简陋分析一下:

1. .text:010014EC                push    esi            ; 保存寄存器值
   
2. .text:010014ED                push    esi            
   
3. .text:010014EE                push    1              ;千万别把1当作一个参数。
   
4. .text:010014F0                call    loc_10013EF    ; 调用子函数
   
5. 
   
6. ---------------------------------------------------------------------------
   
7. ;看到这里就应该明白，这个子函数并没有任何参数传递。所以我也不明白 push 1 是什么意思
   
8. loc_10013EF:
   
9. 
   
10. 
    
11. .text:010013EF loc_10013EF:                        
    
12. .text:010013EF                mov    edi, edi
    
13. .text:010013F1                push    ebp
    
14. .text:010013F2                mov    ebp, esp
    
15. .text:010013F4                push    ecx
    
16. .text:010013F5                push    esi            ; 上面这些操作都是保存寄存器的值，而非参数。即pushad
    
17. .text:010013F6                push    1              ; SEM_NOGPFAULTERRORBOX
    
18. .text:010013F8                call    ds:SetErrorMode ; 设置错误代码，如果程序出现异常，不提供任何提示
    
19. .text:010013FE                push    offset loc_10011DD
    
20. .text:01001403                call    ds:SetUnhandledExceptionFilter ; 程序错误则取其错误地址.这是一个回调函数
    
21. .text:01001409                push    4
    
22. .text:0100140B                lea    eax, [ebp-4]
    
23. .text:0100140E                push    eax
    
24. .text:0100140F                push    5
    
25. .text:01001411                push    0FFFFFFFFh
    
26. .text:01001413                mov    dword ptr [ebp-4], 9
    
27. .text:0100141A                call    ds:NtSetInformationProcess ; 把与调度优先级有关的信息设置到目标进程对象中去。具体是什么，我也不清楚
    
28. .text:01001420                mov    esi, eax        ; 保存函数返回值到esi
    
29. .text:01001422                test    esi, esi        ; 为0否？
    
30. .text:01001424                jl      short loc_1001486 ; 这里的esi是NtSetInformationProcess函数的返回值。通过堆栈直接传给这个子函数
    
31. 
    
32. ------------------------------------------------------------------------------------
    
33. 
    
34. loc_1001486:
    
35. 
    
36. 
    
37. .text:01001486 loc_1001486:                           
    
38. .text:01001486                                       
    
39. .text:01001486                                       
    
40. .text:01001486                                      
    
41. .text:01001486                                       
    
42. .text:01001486                                       
    
43. .text:01001486                push    esi            ; 这里的esi是NtSetInformationProcess函数的返回值。通过堆栈直接传给这个子函数
    
44. .text:01001487                call    sub_10011EE
    
45. .text:01001487
    
46. .text:0100148C                push    esi
    
47. .text:0100148D                call    ds:ExitThread
    
48. 
    
49. 
    
50. ----------------------------------------------------------------------------------
    
51. 
    
52. sub_10011EE:
    
53. 
    
54. 
    
55. 
    
56. .text:010011EE sub_10011EE    proc near            
    
57. .text:010011EE
    
58. .text:010011EE var_48          = dword ptr -48h
    
59. .text:010011EE var_44          = dword ptr -44h
    
60. .text:010011EE var_40          = dword ptr -40h
    
61. .text:010011EE var_38          = dword ptr -38h
    
62. .text:010011EE var_34          = dword ptr -34h
    
63. .text:010011EE var_30          = dword ptr -30h
    
64. .text:010011EE var_2C          = dword ptr -2Ch
    
65. .text:010011EE var_28          = dword ptr -28h
    
66. .text:010011EE var_24          = dword ptr -24h
    
67. .text:010011EE var_20          = dword ptr -20h
    
68. .text:010011EE hObject        = dword ptr -1Ch
    
69. .text:010011EE pSid            = dword ptr -18h
    
70. .text:010011EE var_14          = dword ptr -14h
    
71. .text:010011EE var_10          = dword ptr -10h
    
72. .text:010011EE pIdentifierAuthority= _SID_IDENTIFIER_AUTHORITY ptr -0Ch
    
73. .text:010011EE var_4          = dword ptr -4
    
74. .text:010011EE arg_0          = dword ptr  8 ;传递过来的NtSetInformationProcess函数句柄
    
75. .text:010011EE
    
76. .text:010011EE                mov    edi, edi
    
77. .text:010011F0                push    ebp
    
78. .text:010011F1                mov    ebp, esp
    
79. .text:010011F3                sub    esp, 48h
    
80. .text:010011F6                mov    eax, dword_1003004
    
81. .text:010011FB                push    ebx
    
82. .text:010011FC                push    esi
    
83. .text:010011FD                mov    esi, [ebp+arg_0]
    
84. .text:01001200                xor    ebx, ebx
    
85. .text:01001202                cmp    esi, ebx
    
86. .text:01001204                mov    [ebp+var_4], eax
    
87. .text:01001207                push    edi
    
88. .text:01001208                mov    [ebp+var_10], ebx
    
89. .text:0100120B                jl      loc_1001298
    
90. .text:0100120B
    
91. .text:01001211                push    offset s_Sam_service_s ; "//SAM_SERVICE_STARTED"
    
92. .text:01001216                lea    eax, [ebp+var_40] ; 由此可见，var_40 是一个局部缓冲区变量
    
93. .text:01001219                push    eax
    
94. .text:0100121A                call    ds:RtlInitUnicodeString
    
95. .text:01001220                push    ebx
    
96. .text:01001221                lea    eax, [ebp+var_40]
    
97. .text:01001224                mov    [ebp+var_2C], eax
    
98. .text:01001227                push    ebx
    
99. .text:01001228                lea    eax, [ebp+var_34]
    
100. .text:0100122B                push    eax
     
101. .text:0100122C                mov    esi, 100002h
     
102. .text:01001231                push    esi
     
103. .text:01001232                lea    eax, [ebp+var_10]
     
104. .text:01001235                push    eax
     
105. .text:01001236                mov    [ebp+var_34], 18h
     
106. .text:0100123D                mov    [ebp+var_30], ebx
     
107. .text:01001240                mov    [ebp+var_28], ebx
     
108. .text:01001243                mov    [ebp+var_24], ebx
     
109. .text:01001246                mov    [ebp+var_20], ebx
     
110. .text:01001249                call    ds:NtCreateEvent ; 创建互拆对象，内核中代表着事件对象的数据结构是KEVENT
     
111. .text:0100124F                cmp    eax, ebx        ; eax >= ebx ?
     
112. .text:01001251                jge    short loc_1001278 ; 如果是，就跳
     
113. .text:01001251
     
114. .text:01001253                cmp    eax, 40000000h  ; eax == 40000000h ?
     
115. .text:01001258                jz      short loc_1001261
     
116. .text:01001258
     
117. .text:0100125A                cmp    eax, 0C0000035h ; eax != 0C0000035h ?
     
118. .text:0100125F                jnz    short loc_1001270
     
119. .text:0100125F
     
120. .text:01001261
     
121. .text:01001261 loc_1001261:                          
     
122. .text:01001261                lea    eax, [ebp+var_34]
     
123. .text:01001264                push    eax
     
124. .text:01001265                push    esi
     
125. .text:01001266                lea    eax, [ebp+var_10]
     
126. .text:01001269                push    eax
     
127. .text:0100126A                call    ds:NtOpenEvent  ; 打开一个内核对象
     
128. .text:0100126A
     
129. .text:01001270
     
130. .text:01001270 loc_1001270:                          
     
131. .text:01001270                cmp    eax, ebx
     
132. .text:01001272                jl      loc_10013DB
     
133. .text:01001272
     
134. .text:01001278
     
135. .text:01001278 loc_1001278:                          
     
136. .text:01001278                push    ebx
     
137. .text:01001279                push    [ebp+var_10]
     
138. .text:0100127C                call    ds:NtSetEvent  ; 设置内核对象
     
139. .text:01001282                test    eax, eax
     
140. .text:01001284                jge    loc_10013DB
     
141. .text:01001284
     
142. .text:0100128A                push    [ebp+var_10]
     
143. .text:0100128D                call    ds:NtClose      ; 关闭
     
144. .text:01001293                jmp    loc_10013DB
     
145. .text:01001293
     
146. .text:01001298 ; ---------------------------------------------------------------------------
     
147. .text:01001298
     
148. .text:01001298 loc_1001298:                           
     
149. .text:01001298                push    2              ; ImpersonationLevel
     
150. .text:0100129A                call    ds:ImpersonateSelf
     
151. .text:010012A0                xor    edi, edi
     
152. .text:010012A2                inc    edi
     
153. .text:010012A3                test    eax, eax
     
154. .text:010012A5                jz      loc_100133F
     
155. .text:010012A5
     
156. .text:010012AB                lea    eax, [ebp+hObject]
     
157. .text:010012AE                push    eax            ; TokenHandle
     
158. .text:010012AF                push    edi            ; OpenAsSelf
     
159. .text:010012B0                push    8              ; DesiredAccess
     
160. .text:010012B2                call    ds:GetCurrentThread ; 获取自身进程PID
     
161. .text:010012B8                push    eax            ; ThreadHandle
     
162. .text:010012B9                call    ds:OpenThreadToken ; Open the access token associated with a thread
     
163. .text:010012BF                test    eax, eax
     
164. .text:010012C1                jz      short loc_1001339
     
165. .text:010012C1
     
166. .text:010012C3                lea    eax, [ebp+pSid]
     
167. .text:010012C6                push    eax            ; pSid
     
168. .text:010012C7                push    ebx            ; nSubAuthority7
     
169. .text:010012C8                push    ebx            ; nSubAuthority6
     
170. .text:010012C9                push    ebx            ; nSubAuthority5
     
171. .text:010012CA                push    ebx            ; nSubAuthority4
     
172. .text:010012CB                push    ebx            ; nSubAuthority3
     
173. .text:010012CC                push    ebx            ; nSubAuthority2
     
174. .text:010012CD                push    ebx            ; nSubAuthority1
     
175. .text:010012CE                push    12h            ; nSubAuthority0
     
176. .text:010012D0                push    edi            ; nSubAuthorityCount
     
177. .text:010012D1                lea    eax, [ebp+pIdentifierAuthority]
     
178. .text:010012D4                push    eax            ; pIdentifierAuthority
     
179. .text:010012D5                mov    [ebp+var_14], edi
     
180. .text:010012D8                mov    [ebp+pSid], ebx
     
181. .text:010012DB                mov    [ebp+pIdentifierAuthority.Value], bl
     
182. .text:010012DE                mov    [ebp+pIdentifierAuthority.Value+1], bl
     
183. .text:010012E1                mov    [ebp+pIdentifierAuthority.Value+2], bl
     
184. .text:010012E4                mov    [ebp+pIdentifierAuthority.Value+3], bl
     
185. .text:010012E7                mov    [ebp+pIdentifierAuthority.Value+4], bl
     
186. .text:010012EA                mov    [ebp+pIdentifierAuthority.Value+5], 5
     
187. .text:010012EE                call    ds:AllocateAndInitializeSid ; Allocate and initializes a security
     
188. .text:010012EE                                        ; identifier with up to eight subauthorities
     
189. .text:010012F4                test    eax, eax
     
190. .text:010012F6                jz      short loc_100131F
     
191. .text:010012F6
     
192. .text:010012F8                lea    eax, [ebp+var_38]
     
193. .text:010012FB                push    eax
     
194. .text:010012FC                push    [ebp+pSid]
     
195. .text:010012FF                push    [ebp+hObject]
     
196. .text:01001302                call    CheckTokenMembership
     
197. .text:01001302
     
198. .text:01001307                test    eax, eax
     
199. .text:01001309                jz      short loc_1001311
     
200. .text:01001309
     
201. .text:0100130B                mov    eax, [ebp+var_38]
     
202. .text:0100130E                mov    [ebp+var_14], eax
     
203. .text:0100130E
     
204. .text:01001311
     
205. .text:01001311 loc_1001311:                          
     
206. .text:01001311                cmp    [ebp+pSid], ebx
     
207. .text:01001314                jz      short loc_100131F
     
208. .text:01001314
     
209. .text:01001316                push    [ebp+pSid]      ; pSid
     
210. .text:01001319                call    ds:FreeSid
     
211. .text:01001319
     
212. .text:0100131F
     
213. .text:0100131F loc_100131F:                          
     
214. .text:0100131F                                       
     
215. .text:0100131F                push    [ebp+hObject]  ; hObject
     
216. .text:01001322                call    ds:CloseHandle
     
217. .text:01001328                call    ds:RevertToSelf ; Terminate the impersonation
     
218. .text:01001328                                        ; of a client application
     
219. .text:0100132E                cmp    [ebp+var_14], ebx
     
220. .text:01001331                jz      loc_10013DB
     
221. .text:01001331
     
222. .text:01001337                jmp    short loc_100133F
     
223. .text:01001337
     
224. .text:01001339 ; ---------------------------------------------------------------------------
     
225. .text:01001339
     
226. .text:01001339 loc_1001339:                          
     
227. .text:01001339                call    ds:RevertToSelf ; Terminate the impersonation
     
228. .text:01001339                                        ; of a client application
     
229. .text:01001339
     
230. .text:0100133F
     
231. .text:0100133F loc_100133F:                          
     
232. .text:0100133F                                       
     
233. .text:0100133F                lea    eax, [ebp+var_48]
     
234. .text:01001342                push    eax
     
235. .text:01001343                push    edi
     
236. .text:01001344                lea    eax, [ebp+var_44]
     
237. .text:01001347                push    eax
     
238. .text:01001348                push    ebx
     
239. .text:01001349                push    edi
     
240. .text:0100134A                or      esi, 10000000h
     
241. .text:01001350                push    esi
     
242. .text:01001351                mov    [ebp+var_44], 10010h
     
243. .text:01001358                call    ds:NtRaiseHardError
     
244. .text:0100135E                mov    esi, eax
     
245. .text:01001360                call    LsaISetupWasRun
     
246. .text:01001360
     
247. .text:01001365                test    al, al
     
248. .text:01001367                jz      short loc_10013B4 ; 关闭计算机
     
249. .text:01001367
     
250. .text:01001369                push    offset s_Setup_failed ; "//SETUP_FAILED"
     
251. .text:0100136E                lea    eax, [ebp+var_40]
     
252. .text:01001371                push    eax
     
253. .text:01001372                call    ds:RtlInitUnicodeString
     
254. .text:01001378                lea    eax, [ebp+var_40]
     
255. .text:0100137B                mov    [ebp+var_2C], eax
     
256. .text:0100137E                lea    eax, [ebp+var_34]
     
257. .text:01001381                push    eax
     
258. .text:01001382                push    100002h
     
259. .text:01001387                lea    eax, [ebp+var_10]
     
260. .text:0100138A                push    eax
     
261. .text:0100138B                mov    [ebp+var_34], 18h
     
262. .text:01001392                mov    [ebp+var_30], ebx
     
263. .text:01001395                mov    [ebp+var_28], ebx
     
264. .text:01001398                mov    [ebp+var_24], ebx
     
265. .text:0100139B                mov    [ebp+var_20], ebx
     
266. .text:0100139E                call    ds:NtOpenEvent
     
267. .text:010013A4                test    eax, eax
     
268. .text:010013A6                jl      short loc_10013DB
     
269. .text:010013A6
     
270. .text:010013A8                push    ebx
     
271. .text:010013A9                push    [ebp+var_10]
     
272. .text:010013AC                call    ds:NtSetEvent
     
273. .text:010013B2                jmp    short loc_10013DB
     
274. .text:010013B2
     
275. .text:010013B4 ; ---------------------------------------------------------------------------
     
276. .text:010013B4
     
277. .text:010013B4 loc_10013B4:                          
     
278. .text:010013B4                cmp    esi, ebx
     
279. .text:010013B6                jl      short loc_10013DB
     
280. .text:010013B6
     
281. .text:010013B8                mov    esi, ds:RtlAdjustPrivilege
     
282. .text:010013BE                lea    eax, [ebp+var_14]
     
283. .text:010013C1                push    eax
     
284. .text:010013C2                push    ebx
     
285. .text:010013C3                push    edi
     
286. .text:010013C4                push    13h
     
287. .text:010013C6                call    esi ; RtlAdjustPrivilege
     
288. .text:010013C8                push    edi            ; edi == 2 ?
     
289. .text:010013C9                call    ds:NtShutdownSystem
     
290. .text:010013CF                lea    eax, [ebp+var_14]
     
291. .text:010013D2                push    eax
     
292. .text:010013D3                push    ebx
     
293. .text:010013D4                push    [ebp+var_14]
     
294. .text:010013D7                push    13h
     
295. .text:010013D9                call    esi ; RtlAdjustPrivilege
     
296. .text:010013D9
     
297. .text:010013DB
     
298. .text:010013DB loc_10013DB:                          
     
299. .text:010013DB                                       
     
300. .text:010013DB                                       
     
301. .text:010013DB                                       
     
302. .text:010013DB                                       
     
303. .text:010013DB                                       
     
304. .text:010013DB                mov    ecx, [ebp+var_4]
     
305. .text:010013DE                pop    edi
     
306. .text:010013DF                pop    esi
     
307. .text:010013E0                pop    ebx
     
308. .text:010013E1                call    sub_10015C5
     
309. .text:010013E1
     
310. .text:010013E6                leave
     
311. .text:010013E7                retn    4
     
312. .text:010013E7
     
313. .text:010013E7 sub_10011EE    endp
     
314. 
     

复制代码

下面是lsass.exe的部分代码。俺写得不伦不类。哎，继续加强俺的汇编功底。代码：

1. ;--------------------------------------------------------
   
2. ;
   
3. ;code By Asm
   
4. ;
   
5. ;---------------------------------------------------------
   
6. .386
   
7. .model flat, stdcall
   
8. option casemap:none
   
9. 
   
10. ;--------------------------------------------------------
    
11. ;
    
12. ;未编写完成的lsass.exe的代码，就算写完，估计还需要大面积调式
    
13. ;所以这里不好把头文件和库写出。不过我们总算了解一点东西,
    
14. ;就是为什么结束了lsass.exe，系统会关机。原来是调用NtRaiseHardError
    
15. ;来检查错误，发现了，就调用NtShutdownSystem。
    
16. ;
    
17. ;----------------------------------------------------------
    
18. 
    
19. .data
    
20. dword_1003004 dd 0BB40h
    
21. .const
    
22. CCOUNTED_UNICODE_STRING    "//SAM_SERVICE_STARTED",g_usSam, 4
    
23. .code
    
24. ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
25. Lsasses proc lpRet:LPSTR
    
26. local hEvent1:HANDLE
    
27. local hEvent:HANDLE
    
28. local szTYPE:EVENT_TYPE
    
29. local Message[1024]:DWORD
    
30. local Error:HARDERROR_RESPONSE_OPTION
    
31. local Response:HARDERROR_RESPONSE
    
32. local en:DWORD
    
33. 
    
34. mov esi,lpRet
    
35. xor ebx,ebx
    
36. cmp esi,ebx
    
37. mov hEvent1,eax
    
38. push edi  ;edi是什么，还未知
    
39. mov ebx,hEvent
    
40. jl      loc_1001298
    
41. 
    
42. invoke RtlInitUnicodeString,addr lpBuff,addr g_usSam
    
43. invoke NtCreateEvent,hEvent,100002h,CTXT("LsassEvent"),szTYPE.SynchronizationEvent,sizeof szTYPE.SynchronizationEvent;这个函数的写得有点牵强
    
44. .if eax>=ebx  ;ebx到底是什么？有待进一步分析！
    
45. invoke NTSetEvent,hEvent,ebx
    
46. .elseif eax==40000000h
    
47. invoke NtOpenEvent,hEvent,100002h,CTXT("LsassEvent")
    
48. .elseif eax
    
49. invoke NtClose,hEvent
    
50. .endif
    
51. 
    
52. loc_1001298:
    
53.             invoke ImpersonateSelf,2
    
54.             xor edi,edi
    
55.             inc edi
    
56.             .if eax==NULL
    
57.             jmp loc_100133F
    
58.             .endif
    
59.             
    
60. loc_100133F:  
    
61.           or  esi, 10000000h
    
62.           invoke NtRaiseHardError,esi,edi,ebx,addr Message,addr Error,addr Response
    
63.           mov esi,eax ;esi是在堆栈中，这里典型的通过寄存器传递参数
    
64.           call LsaISetupWasRun
    
65.           test al,al
    
66.           jz NtShutdown
    
67.          
    
68. NtShutdown:
    
69.           invoke RtlAdjustPrivilege,SE_SHUTDOWN_PRIVILEGE,2,2,addr en
    
70.           invoke NtShutdownSystem,2
    
71.           invoke RtlAdjustPrivilege,SE_SHUTDOWN_PRIVILEGE,addr en,2,addr en
    
72. ret
    
73. Lsasses endp
    
74. ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
75. loc_10013EF proc
    
76. local Handel:HANDLE
    
77. local dwRet:DWORD
    
78. invoke SetErrorMode,SEM_FAILCRITICALERRORS
    
79. invoke SetUnhandledExceptionFilter,EXCEPTION_ACCESS_VIOLATION
    
80. invoke NtSetInformationProcess,0FFFFFFFFh,5,addr Handel,4
    
81. .if eax<NULL
    
82. mov dwRet,eax
    
83. jmp loc_1001486
    
84. .endif
    
85. 
    
86. loc_1001486:
    
87.           invoke Lsasses,dwRet ;执行完这个函数，还不知道到底是做了什么的。
    
88.           invoke ExitThread,0
    
89. loc_10013EF endp
    
90. ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
91. DriverEntry proc pDriverObject:PDRIVER_OBJECT, pusRegistryPath:PUNICODE_STRING
    
92. invoke  loc_10013EF;调用第一个子函数，姑且这么写
    
93. mov eax,STATUS_DEVICE_CONFIGURATION_ERROR
    
94. ret
    
95. DriverEntry endp
    
96. ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
97. end DriverEntry
    
98. 
    

复制代码

cooby

呵呵，我是进来帮顶一下的哈，辛苦了。。

cooby

好东西啊，真是好东西，感谢楼主分享！谢谢！

cooby

回答了那么多，没有加分了，郁闷。