用IDA看ntdll的时候写的

最新推荐文章于 2021-11-19 11:31:12 发布

aspbasicer

最新推荐文章于 2021-11-19 11:31:12 发布

阅读量3.7k

点赞数

CC 4.0 BY-SA版权

分类专栏：来自工作文章标签： hook command api c dos string

本文链接：https://blog.youkuaiyun.com/aspbasicer/article/details/435661

来自工作专栏收录该内容

2 篇文章

订阅专栏

博客讲述了作者通过IDA分析ntdll.dll时，发现XP系统使用KiFastSystemCall封装sysenter指令进入Ring0。通过Hook KiFastSystemCall而非int 2eh，可以在Ring3级别监控系统调用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

今天看到了NtQuerySystemInformation()这个函数，就用IDA反了下ntdll.dll，发现了一个很有意思的事。我以前就知道XP下已经用sysenter指令代替了int 2eh来进入Ring0，但是没有想到的是，在NTDLL中，sysenter被封装到了KiFastSystemCall中，我看了几个需要进入Ring0的API，最后都调用KiFastSystemCall来执行sysenter，而KiFastSystemCall是Ring3的API，可以HOOK，这样，不需要钩int 2eh就可以监视一个进程调用了那些需要进入Ring0的API了

下面是发现过程中写的东西
-------------------------------------------------------------------------------------------------------------
ZwQuerySystemInformation:                  ; NtQuerySystemInformation
.text:7C92E1AA                 mov     eax, 0ADh         ; RtlGetNativeSystemInformation
.text:7C92E1AF                 mov     edx, 7FFE0300h  ;7FFE0300h好象存着好东西
.text:7C92E1B4                 call    dword ptr [edx]
.text:7C92E1B6                 retn    10h

ZwQuerySystemTime:                         ; NtQuerySystemTime
.text:7C92E1BF                 mov     eax, 0AEh
.text:7C92E1C4                 mov     edx, 7FFE0300h  ;又是这
.text:7C92E1C9                 call    dword ptr [edx]
.text:7C92E1CB                 retn    4

FT,eax肯定是功能号，7FFE0300处存着全部需要进入Ring0的都要调用的过程的地址，所以只要修改那里就好了

原来7FFE0300放着KiFastSystemCall的地址7C92EB8B:)

KiFastSystemCall:
.text:7C92EB8B                 mov     edx, esp
.text:7C92EB8D                 sysenter
.text:7C92EB94                 retn

在XP中，用了sysenter指令代替int 2eh，sysenter的执行周期比int 2eh少，所以XP应该会比2000快

.text:7C92EBA5 KiIntSystemCall:
.text:7C92EBA5                 lea     edx, [esp+8] ; edx=esp+8
.text:7C92EBA9                 int     2Eh             ; DOS 2+ internal - EXECUTE COMMAND
.text:7C92EBA9                                         ; DS:SI -> counted CR-terminated command string
.text:7C92EBAB                 retn

老的也在，就是这个

这样的话在3环就可以HOOK系统服务了

再看看2000下的
.text:77F87D11 ZwQuerySystemInformation:               ; NtQuerySystemInformation
.text:77F87D11                 mov     eax, 97h
.text:77F87D16                 lea     edx, [esp+4]
.text:77F87D1A                 int     2Eh             ; DOS 2+ internal - EXECUTE COMMAND
.text:77F87D1A                                         ; DS:SI -> counted CR-terminated command string
.text:77F87D1C                 retn    10h
在2000下，ZwQuerySystemInformation内部就直接用int 2eh了，所以在2000中不能在3环上HOOK系统服务入口了,只有HOOK INT2Eh了

用OllyDbg修改7FFE0300的内容，发现不让改，写个代码试试
呵呵，不行，用普通的方法不行，看样子得用其他方法了：（
晕~~~既然XP是调用KiFastSystemCall间接调用sysenter的，那么只要HOOK住KiFastSystemCall不就得了，不用去改7FFE0300h的值，HOOK这个需要用改API头字节，不能用改IAT的方法了,因为谁导入这个API啊。另外KiFastSystemCall()太短了，还好MS插了点NOP在里面，不晓得为什么？