內核級HOOK的幾種實現與應用

信息来源：http://www.whitecell.org
原始连接：http://delphi.ktop.com.tw/TOPIC.ASP?TOPIC_ID=50997

內核級HOOK的幾種實現與應用

Author : sinister
Email  : sinister@whitecell.org
HomePage: http://www.whitecell.org 


實現內核級 HOOK 對於攔截、分析、跟蹤系統內核起著致關重要的作用。實現的方法不同意味著應用側重點的不同。

如想要攔截 NATIVE API 那麼可能常用的就是 HOOK SERVICE TABLE 的方法。
如果要分析一些系統調用，那麼可能想到用 HOOK INT 2E 中斷來實現。

如果想要攔截或跟蹤其他內核 DRIVER 的調用，那麼就要用到HOOK PE 的方法來實現。

這裏我們更注重的是實現，原理方面已有不少高手在網上發表過文章。

大家可以結合起來讀。
下面以我寫的幾個實例程式來講解一下各種方法的實現。
錯誤之處還望各位指正。


1、HOOK SERVICE TABLE 方法：
  這種方法對於攔截 NATIVE API 來說用的比較多。
原理就是通過替換系統導
出的一個 SERVICE TABLE 中相應的 NATIVE API 的位址來達到攔截的目的。
因為此方法較為簡單，網上也有不少資料來介紹。
所以這裏就不給出實例程式了。SERVICE TABLE 的結構如下：

typedef struct ServiceDescriptorEntry {
  unsigned int *ServiceTableBase;
  unsigned int *ServiceCounterTableBase;
  unsigned int NumberOfServices;
  unsigned char *ParamTableBase;
} ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;
 

2、HOOK INT 2E 方法：
  這種方法對於跟蹤、分析系統調用來說用的比較多。原理是通過替換 IDT
表中的 INT 2E 中斷，使之指向我們自己的中斷服務處理常式來實現的。
掌握此方法需要你對保護模式有一定的基礎。下面的程式演示了這一過程。


/*****************************************************************
檔案名    : WssHookInt2e.c
描述     : 系統調用跟蹤
作者     : sinister
最後修改日期 : 2002-11-02
*****************************************************************/

#include "ntddk.h"
#include "string.h"

#define DWORD unsigned __int32
#define WORD unsigned __int16
#define BYTE unsigned __int8
#define BOOL __int32

#define LOWORD(l)      ((WORD)(l))
#define HIWORD(l)      ((WORD)(((DWORD)(l) >> 16) & 0xFFFF))
#define LOBYTE(w)      ((BYTE)(w))
#define HIBYTE(w)      ((BYTE)(((WORD)(w) >> 8) & 0xFF))

#define MAKELONG(a, b) ((LONG) (((WORD) (a)) | ((DWORD) ((WORD) (b))) << 16))

#define SYSTEMCALL 0x2e
#define SYSNAME "System"
#define PROCESSNAMELEN 16

#pragma pack(1)

//定義 IDTR
typedef struct tagIDTR {
    WORD IDTLimit;
    WORD LowIDTbase;
    WORD HiIDTbase;
}IDTR, *PIDTR;

//定義 IDT
typedef struct tagIDTENTRY{
  WORD OffsetLow;
  WORD selector;
  BYTE unused_lo;
  unsigned char unused_hi:5;
  unsigned char DPL:2;
  unsigned char P:1;
  WORD OffsetHigh;
} IDTENTRY, *PIDTENTRY;


#pragma pack()

DWORD  OldInt2eService;
ULONG  ProcessNameOffset;
TCHAR  ProcessName[PROCESSNAMELEN];

static NTSTATUS MydrvDispatch (IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
VOID DriverUnload (IN PDRIVER_OBJECT pDriverObject);
ULONG GetProcessNameOffset();
VOID GetProcessName( PCHAR Name );
VOID InstallNewInt2e();
VOID UninstallNewInt2e();

VOID __fastcall NativeApiCall()
{
  KIRQL OldIrql;
  
  DWORD ServiceID;
  DWORD ProcessId;

  __asm mov ServiceID,eax;


  ProcessId = (DWORD)PsGetCurrentProcessId();
  GetProcessName(ProcessName);

  KeRaiseIrql(HIGH_LEVEL, &OldIrql); // 提升當前的 IRQL 級別防止被中斷


  switch ( ServiceID )
  {
      case 0x20:
         DbgPrint("NEWINT2E: ProcessName: %s; ProcessID: %d; Native Api: NtCreateFile() \n",ProcessName,ProcessId);
         break;

      case 0x2b:
         DbgPrint("NEWINT2E: ProcessName: %s; ProcessID: %d; Native Api: NtCreateSection() \n",ProcessName,ProcessId);        
         break;


      case 0x30:
         DbgPrint("NEWINT2E: ProcessName: %s; ProcessID: %d; Native Api: NtCreateToken() \n",ProcessName,ProcessId);        
         break;
        
  }

  KeLowerIrql(OldIrql); //恢復原始 IRQL

}

__declspec(naked) NewInt2eService()
{
  __asm{
    pushad
    pushfd
    push fs
    mov bx,0x30
    mov fs,bx
    push ds
    push es

    sti
    call NativeApiCall; // 調用記錄函數
    cli

    pop es
    pop ds
    pop fs
    popfd
    popad

    jmp  OldInt2eService; //跳到原始 INT 2E 繼續工作
  }
}

VOID InstallNewInt2e()
{

  IDTR     idtr;
  PIDTENTRY  OIdt;
  PIDTENTRY  NIdt;

  //得到 IDTR 中得段界限與基底位址
  __asm {
    sidt idtr;
  }

  //得到IDT基底位址
  OIdt = (PIDTENTRY)MAKELONG(idtr.LowIDTbase,idtr.HiIDTbase);

  //保存原來的 INT 2E 服務常式
  OldInt2eService = MAKELONG(OIdt[SYSTEMCALL].OffsetLow,OIdt[SYSTEMCALL].OffsetHigh);
  
  NIdt = &(OIdt[SYSTEMCALL]);

  __asm {
    cli
    lea eax,NewInt2eService; //得到新的 INT 2E 服務常式偏移
    mov ebx, NIdt;
    mov [ebx],ax;  //INT 2E 服務常式低 16 位元
    shr eax,16   //INT 2E 服務常式高 16 位元
    mov [ebx+6],ax;
    lidt idtr //裝入新的 IDT
    sti
  }

}

VOID UninstallNewInt2e()
{
  IDTR     idtr;
  PIDTENTRY  OIdt;
  PIDTENTRY  NIdt;

  __asm {
    sidt idtr;
  }

  OIdt = (PIDTENTRY)MAKELONG(idtr.LowIDTbase,idtr.HiIDTbase);

  NIdt = &(OIdt[SYSTEMCALL]);

  _asm {
    cli
    lea eax,OldInt2eService;
    mov ebx, NIdt;
    mov [ebx],ax;
    shr eax,16
    mov [ebx+6],ax;
    lidt idtr
    sti
  }

}




// 驅動入口
NTSTATUS DriverEntry( IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath )
{
  
  UNICODE_STRING nameString, linkString;
  PDEVICE_OBJECT deviceObject;
  NTSTATUS    status;
  HANDLE     hHandle;
  int        i;
  

  //卸載驅動
  DriverObject->DriverUnload = DriverUnload;

  //建立設備
  RtlInitUnicodeString( &nameString, L"\\Device\\WssHookInt2e" );
  
  status = IoCreateDevice( DriverObject,
               0,
               &nameString,
               FILE_DEVICE_UNKNOWN,
               0,
               TRUE,
               &deviceObject
              );
             

  if (!NT_SUCCESS( status ))
    return status;
  

  RtlInitUnicodeString( &linkString, L"\\DosDevices\\WssHookInt2e" );

  status = IoCreateSymbolicLink (&linkString, &nameString);

  if (!NT_SUCCESS( status ))
  {
    IoDeleteDevice (DriverObject->DeviceObject);
    return status;
  }  
  

  for ( i = 0; i < IRP_MJ_MAXIMUM_FUNCTION; i++)  {

     DriverObject->MajorFunction<i> = MydrvDispatch;
  }

   DriverObject->DriverUnload = DriverUnload;

  ProcessNameOffset = GetProcessNameOffset();
  InstallNewInt2e();

 return STATUS_SUCCESS;
}



//處理設備物件操作

static NTSTATUS MydrvDispatch (IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
  Irp->IoStatus.Status = STATUS_SUCCESS;
  Irp->IoStatus.Information = 0L;
  IoCompleteRequest( Irp, 0 );
  return Irp->IoStatus.Status;
  
}



VOID DriverUnload (IN PDRIVER_OBJECT  pDriverObject)
{
  UNICODE_STRING nameString;

  UninstallNewInt2e();
  RtlInitUnicodeString( &nameString, L"\\DosDevices\\WssHookInt2e" );  
  IoDeleteSymbolicLink(&nameString);
  IoDeleteDevice(pDriverObject->DeviceObject);

  return;
}



ULONG GetProcessNameOffset()
{
    PEPROCESS curproc;
    int i;
    
    curproc = PsGetCurrentProcess();

    //
    // Scan for 12KB, hopping the KPEB never grows that