详谈内核的Inine_Hook实现.doc

前置知识：汇编 驱动 windbg 函数参数调用 关键词：堆栈平衡 inline hook 详谈内核三步走Inline Hook实现 （一）Inline hook原理 Inline hook通俗的说就是对函数执行流程进行修改，达到控制函数过滤操作的目的。理论上我们可以在函数任何地方把原来指令替换成我们的跳转指令，也确实有些人在inline 的时候做的很深，来躲避inline 的检测，前提是必须对函数的流程和指令非常熟悉，且这种深层次的inlline 不具有通用性，稳定性也是问题。本文讨论的是具有通用性的两类inline的实现。 Inline hook原理：解析函数开头的几条指令，把他们Copy到数组保存起来，然后用一个调用我们的函数的几条指令来替换，如果要执行原函数，则在我们函数处理完毕，再执行我们保存起来的开头几条指令，然后调回我们取指令之后的地址执行。用下图来解释： 原函数： 开头指令A 指令B Inline 后： JMP MyFunction 指令B MyFunction： 处理函数 JMP ResumeFunction ResumeFunction： 开头指令A JMP 回去 整个Inline hook的过程就大体这样，中间牵扯到对函数的检查，地址的获取就直接调用函数即可。 本文所要讨论的两类Inline hook都是基于上面原理。 说明三点： 1、堆栈平衡是重中之重，参数压栈也需要格外注意 2、R0模式下内存是不允许写的，需要去除写保护，设置CR0寄存器 3、提高中断级别到DPC，禁止线程切换 （二）inline hook应用 Inline hook可分为两类： （1）inline 导出函数，选择ObReferenceObjectByHandle做例子。 （2）inline 未导出函数，选择KiInsertQueueApc做例子。 导出函数前几个字节可以利用windbg自己查看是什么内容，而未导出函数就需要自己解析指令确定需要hook几个字节，其间还有很多问题需要注意。当大家真正的弄懂了我这篇文章，回头再看inline hook就会觉得inline也不过如此。 下面通过2个例子来讲inline hook的使用（这部分知识网上也有很多，但都很零散不系统，本文部分思路及代码的确参考了网上资源，有抄袭之嫌，希望读者谅解。我一直强调“授人以鱼不如授人以渔”，代码并不重要，关键是思想。） 1、inline hook ObReferenceObjectByHandle保护进程 ObReferenceObjectByHandle属于ntoskrnl.exe导出函数，在内核中调用频繁。 NtCreateProcess创建进程需要调用ObReferenceObjectByHandle，NtTerminateProcess需要调用ObReferenceObjectByHandle，基于这我们就可以利用Hook来保护进程同时屏蔽进程的创建。 效果：已经运行的记事本任务管理器无法结束 流程： HookObReferenceObjectByHandleDetourMyObReferenceObjectByHa ndleUnHookObReferenceObjectByHandle 核心代码分析如下： //=======================================inline HOOK ObReferenceObjectByHandle=========================== //ObReferenceObjectByHandle是ntoskrnl.exe导出函数，采用HOOK前五个字节的方式 //字节型数据 unsigned char ULONG CR0VALUE; BYTE OriginalBytes[5]={0}; //保存原始函数前五个字节 BYTE JmpAddress[5]={0xE9,0,0,0,0}; //跳转到HOOK函数的地址 extern POBJECT_TYPE *PsProcessType; NTKERNELAPI NTSTATUS ObReferenceObjectByHandle( IN HANDLE Ha