内核层关机重启

最新推荐文章于 2024-02-03 13:56:50 发布

原创

最新推荐文章于 2024-02-03 13:56:50 发布 · 4.2k 阅读

4 ·

CC 4.0 BY-SA版权

本文探讨了在用户层和内核驱动中如何实现安全的关机、重启操作。由于用户进程的关机函数易被hook，转向内核驱动进行操作。然而，直接在DriverEntry调用NtShutdownSystem可能会遇到权限不足的问题。为解决此问题，文章提供了一个提权函数AdjustPriv，用于启用SE_SHUTDOWN_PRIVILEGE权限。接着，展示了如何在设备驱动程序中响应ioctl命令，执行不同的关机、重启操作，如IOCTL_SHUTDOWN_POWEROFF、IOCTL_SHUTDOWN_NOREBOOT和IOCTL_SHUTDOWN_REBOOT。

现在HOOK越来越普遍，很多恶意程序通用hook用户进程的关机函数禁止关机，有些则是hook winlogon.exe的关机函数，因为进程的调用关机函数会最终给winlogon.exe发送关机消息。所以在用户层实现关机已经越来越不安全了。内核驱动禁止关机也不是很安全，通过windbg可以发现xuetr.exe禁止关机的原理是对NtShutdownSystem调用的SeSinglePrivilegeCheck(权限检查)函数进行call hook。不管了，毕竟玩驱的也不是等闲之辈。我们可以经常遇到在DriverEntry调用NtShutdownSystem可以正常关机重启，但是通过ioctl关机重启失效了，NtShutdownSystem的返回值是STATUS_PRIVILEGE_NOT_HELD，也就是权限不足，看来需要提权。提权函数如下：

void AdjustPriv(ULONG ulSe)
{
NTSTATUS nts = 0;
TOKEN_PRIVILEGES TokenPrivileges;
HANDLE tokenHandle;
nts = ZwOpenProcessToken(NtCurrentProcess(),TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY,&tokenHandle);
if (NT_SUCCESS(nts))
{
  TokenPrivileges.PrivilegeCount = 1;
  TokenPrivileges.Privileges[0].Luid = RtlConvertUlongToLuid(ulSe);
  TokenPrivileges.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
  nts = ZwAdjustPrivilegesToken(tokenHandle, FALSE, &TokenPrivil