通过磁盘类驱动的ObjectHook来保护MBR.pdfVIP

2011 年第6 期 通过磁盘类驱动的ObjectHook 来保护MBR liuke_blue MBR 是硬盘的主引导记录，它独立于操作系统之外，不管你装 Windows 操作系统还是Linux 操作系统等等，它都存在，它包括引导 程序、分区表、结束标志(0x55AA)。它被bios将引导程序加载在0x7C00 的起始位置，检查最后的两位标志位是否正确，如果正确，取出活动 分区的起始扇区 （引导扇区），然后跳转到活动分区的引导扇区,通过 引导扇区的引导程序在找到NTLDR 区域，如果NTLDR 文件丢失或者损 坏，就会出现一段熟悉的信息：”NTLDR is missing,please Ctrl+Alt+Del”,然后你就只有重启计算机，或者修复 NTLDR 。 线 处 NTLDR( +osload), 是16位的程序，它运行 防 出 在实模式，其中很重要的工作就是负责将实模式 （不支持分页，采取 明 段首址*0x10+偏移，所有读写都是特权指令）切换到保护模式并且开 客 注 启分页功能。然后重定位osload 程序，这个就是核心的启动程序，它 黑 请 加载核心设备（BOOT 型）的驱动，比如:ftdisk.sys、atapi.sys、 载 disk.sys 等等，加载后再加载 ntoskrnl.exe, 控制权在交给 转 ntoskrnl.exe 程序，加载一些其他设备驱动、服务等等，最后进去系 统。具体的细节我以后在跟大家讨论。鬼影2 就是替换fips.sys 驱动， 并且替换bios 的扩展in113，来接官对MBR 的读写。所以MBR 是极其 重要，在vista 以后的系统，微软也意识到MBR 的重要性，所以对MBR 采取了保护措施，不能随便改写，由于微软不在支持windows xp 的升 2011 年第6 期 级，所以winxp 下的MBR 经常被病毒、木马利用。但是目前还有很多 用户在使用 winxp,下面我给大街介绍一种保护 MBR 的方式，通过 OBJECT HOOK 来实现。 通过对磁盘类驱动的IRP_MJ_WRITE 的分发例程进行OBJECT HOOK, 对写入的扇区偏移来进行判定，如果是第一分区（mbr 在第一分区的0 柱面 0 磁道 0 扇区）的磁盘设备，并且偏移扇区为 0，也就是从0 扇 区里的位置开始写入的操作全部拦截，从而保护mbr 不被修改。我的 方法过于简单，可以将未被修改的MBR512 个字节的内容进行 HASH。 然后对要写入的512 个字节也进行HASH,如果hash 值不同，则MBR 证 明已被修改过，则拦截该写入操作。主要代码如下： VOID DriverUnload(IN PDRIVER_OBJECT DriverObject) { 处 UNICODE_STRING uniobjname={0}; 线 PDRIVER_OBJECT diskdrvobj; 出 NTSTATUS status; 防 明 if ( g_bHooked g_Origal_disk_Write_Dispatch) { 客 RtlInitUnicodeString(uniobjname,L\\Driver\\Disk);