最新处理HS保护的NtOpenProcess Hook

无钱事

1. NTSTATUS PassHSProcessProtect()
   
2. {
   
3. NTSTATUS status;
   
4. UNICODE_STRING funtionName;
   
5. ULONG addr;
   
6. LONG HSHook;
   
7. PMDL pMdl;
   
8. PVOID pMyNtOP;
   
9. 
   
10. 
    
11. RtlInitUnicodeString(&funtionName,L"NtOpenProcess");
    
12. addr = (ULONG)MmGetSystemRoutineAddress(&funtionName);
    
13. 
    
14. KdPrint(("NtOpenProcess的地址是%X",addr));
    
15. 
    
16. //简单判断是否被HOOK，感觉上是鸡肋
    
17. if (!(addr == (ULONG)NtOpenProcess))
    
18. {
    
19. return STATUS_UNSUCCESSFUL;
    
20. }
    
21. 
    
22. status = MapMemoryToSystemVA(pMdl, (PVOID)addr, 4096, pMyNtOP);
    
23. 
    
24. if (STATUS_UNSUCCESSFUL == status)
    
25. {
    
26. KdPrint(("MapMemoryToSystemVA 调用失败。111"));
    
27. return STATUS_UNSUCCESSFUL;
    
28. }
    
29. 
    
30. KdPrint(("pMyNtOP为：%X" ,(ULONG)pMyNtOP));
    
31. 
    
32. //读取HS的Hook的地址
    
33. {
    
34. __asm
    
35. {
    
36. mov ebx, pMyNtOP
    
37. mov eax, dword ptr[ebx + 0xB]
    
38. mov HSHook, eax
    
39. }
    
40. }
    
41. 
    
42. MmUnmapLockedPages(pMyNtOP,pMdl);
    
43. 
    
44. //获得HS的Detour函数的地址
    
45. HSHook = (ULONG)NtOpenProcess + 0xA + 5 + HSHook;
    
46. 
    
47. KdPrint(("pHSHook：%X" ,HSHook));
    
48. 
    
49. status = MapMemoryToSystemVA(pMdl, (PVOID)HSHook, 4096, (PVOID*)HSHook);
    
50. if (status == STATUS_UNSUCCESSFUL)
    
51. {
    
52. KdPrint(("MapMemoryToSystemVA 调用失败！"));
    
53. return STATUS_UNSUCCESSFUL;
    
54. }
    
55. 
    
56. KdPrint(("pHSHook：%X" ,HSHook));
    
57. 
    
58. return STATUS_SUCCESS;
    
59. 
    
60. //开了HS后的NtOpenProcess
    
61. //805cc3fc 68c4000000 push 0C4h
    
62. //805cc401 68b8b44d80 push offset nt!ObWatchHandles+0x25c (804db4b8)
    
63. //805cc406 e8957cc109 call 8a1e40a0 ;被HOOK的地方
    
64. //805cc40b 33f6 xor esi,esi
    
65. //805cc40d 8975d4 mov dword ptr [ebp-2Ch],esi
    
66. //805cc410 33c0 xor eax,eax
    
67. //805cc412 8d7dd8 lea edi,[ebp-28h]
    
68. //805cc415 ab stos dword ptr es:[edi]
    
69. 
    
70. //这里是HS的Detour函数
    
71. //8a1e40a0 e9db009e26 jmp b0bc4180 ;据说这里HS不会检测这里的CRC，果断NOP掉
    
72. //8a1e40a5 90 nop
    
73. //8a1e40a6 90 nop
    
74. //8a1e40a7 90 nop
    
75. //8a1e40a8 e9d38a35f6 jmp nt!_SEH_prolog (8053cb80)
    
76. //8a1e40ad 90 nop
    
77. //8a1e40ae 90 nop
    
78. //8a1e40af 90 nop
    
79. 
    
80. //NnHook之后NtOpenProcess就变成原来的效果了
    
81. //HS是先用一个Detour函数来HookNtOpenProcess，然后跳转到自己的函数里面去。但是我逆向才开始学，所以就以后再去研究（而且可能还有CRC）。
    
82. //然后就自己nop下这个跳转指令。发现可以！
    
83. 
    
84. //JMP指令占5个字节，你懂的。
    
85. 
    
86. //取消NtOpenProcess的Hook
    
87. {
    
88. __asm
    
89. {
    
90. mov ebx, HSHook
    
91. mov dword ptr[ebx], 0x90909090
    
92. mov byte ptr[ebx+4], 0x90
    
93. }
    
94. }
    
95. 
    
96. //下面的是我用错了还是怎么了，没反应
    
97. //InterlockedExchange(&HSHook,0x90909090);
    
98. //HSHook = HSHook + 1;
    
99. //InterlockedExchange(&HSHook,0x90909090);
    
100. 
     
101. MmUnmapLockedPages((PVOID)HSHook, pMdl);
     
102. IoFreeMdl(pMdl);
     
103. 
     
104. return STATUS_SUCCESS;
     
105. }
     
106. 
     
107. 
     
108. 
     
109. NTSTATUS MapMemoryToSystemVA
     
110. (
     
111. OUT MDL* pMdl,
     
112. IN PVOID pAddr,
     
113. IN SIZE_T pageSize,
     
114. OUT PVOID* MappedAddr
     
115. )
     
116. /*++
     
117. 
     
118. 函数描述:
     
119. 
     
120. 使用MDL以及相关函数把内存中的一块内存映射到系统空间
     
121. 
     
122. 参数:
     
123. 
     
124. pMdl
     
125. MDL结构的地址
     
126. pAddr
     
127. 需要映射的地址
     
128. pageSize
     
129. 需要映射的页面大小
     
130. MappedAddr
     
131. 映射完的地址
     
132. 
     
133. 返回值：
     
134. 
     
135. 成功返回STATUS_SUCCESS，否则返回STATUS_UNSUCCESSFUL。
     
136. 
     
137. --*/
     
138. {
     
139. //创建MDL
     
140. pMdl = MmCreateMdl(NULL,(PVOID)pAddr,4096);
     
141. 
     
142. if (!pMdl)
     
143. {
     
144. KdPrint(("MmCreateMdl 调用失败！pMdl:%X",(ULONG)pMdl));
     
145. return STATUS_UNSUCCESSFUL;
     
146. }
     
147. 
     
148. //在不分页内存中分配MDL
     
149. MmBuildMdlForNonPagedPool(pMdl);
     
150. 
     
151. //映射到系统空间
     
152. pMdl->MdlFlags = pMdl->MdlFlags| MDL_MAPPED_TO_SYSTEM_VA;
     
153. 
     
154. //锁定区域，并返回映射区域的指针
     
155. *MappedAddr = (PVOID)MmMapLockedPages(pMdl, KernelMode);
     
156. 
     
157. if (*MappedAddr == NULL)
     
158. {
     
159. KdPrint(("MmMapLockedPages 调用失败！"));
     
160. return STATUS_UNSUCCESSFUL;
     
161. }
     
162. 
     
163. return STATUS_SUCCESS;
     
164. }

复制代码

andy03

嗯，不错，MDL都用了，