HOOK SwapContext 枚举隐藏进程(学习笔记4)（2）

最新推荐文章于 2022-08-21 12:50:09 发布

cosmoslife

最新推荐文章于 2022-08-21 12:50:09 发布

阅读量919

点赞数

分类专栏：驱动开发学习文章标签： hook thread null session object less

驱动开发学习专栏收录该内容

467 篇文章

订阅专栏

本文深入探讨了信息技术领域的核心组件与应用，包括前端开发、后端开发、移动开发、游戏开发、大数据开发、AI音视频处理等多个细分领域。通过详细分析，读者将获得对各领域技术框架、开发流程及实际应用的全面理解。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

下面是主要代码

01
DWORD gThreadsProcessOffset
 =0x220;    //
 ETHREAD 在 EPROCESS偏移

02
/*

03
 
04
+0x218
 TopLevelIrp      : Uint4B

05
+0x21c
 DeviceToVerify   : Ptr32 _DEVICE_OBJECT

06
+0x220
 ThreadsProcess   : Ptr32 _EPROCESS

07
*/

08
 
09
ULONG ProcessNameOffset
 = 0x174;      //
 进程对应的文件名 在 EPROCESS偏移

10
/*

11
+0x170
 Session          : Ptr32 Void

12
+0x174
 ImageFileName    : [16] UChar

13
+0x184
 JobLinks         : _LIST_ENTRY

14
*/

15
 
16
PProcessList
 wLastItem = NULL;       

17
int BeTerminate
 = 0;                  //1
 表示线程必须要停止  3表示线程不是PENDING状态  0表示线程可以正常运行

18
 
19
void _stdcall
 CollectProcess(PEPROCESS pEPROCESS)  //
 搜集EPROCESS

20
{

21
  if (!IsAdded(wLastItem,
 pEPROCESS)) AddItem(&wLastItem, pEPROCESS);

22
  return;

23
}

24
 
25
void __stdcall
 ThreadCollect(PUCHAR pEthread)   //根据ETHREAD得到EPROCESS
 并调用CollectProcess来搜集

26
{

27
  PEPROCESS
 pEprocess = *(PEPROCESS *)(pEthread + gThreadsProcessOffset);

28
  if (pEprocess)
 CollectProcess(pEprocess);

29
  return;

30
}

31
 
32
 
33
DWORD outPEthread
 = 0;

34
void __stdcall
 ProcessData(DWORD pInEthread, DWORD pOutEthread)

35
{

36
  DWORD pid,
 eprocess;

37
  char *
 pname;

38
  if (MmIsAddressValid(PVOID(pInEthread+0x220))
 )

1
//
 这里以及下面要判断是不是一个真正的 Ethread 结构体 有时好像调用SwapContext传进来的不是 

001
//Ethread
 结构体 然后就蓝屏 具体没有深究 加个判断就不蓝了~

002
  {

003
    eprocess
 = *(DWORD*)(pInEthread+0x220);

004
     
005
    if (MmIsAddressValid(PVOID(eprocess)
 ) )

006
    {

007
      ThreadCollect((PUCHAR)pInEthread);

008
    }

009
     
010
  }

011
}

012
 
013
 
014
 
015
PBYTE GoBackAddr
 = NULL;

016
PBYTE ChangAddr
 = NULL;

017
 
018
DWORD CallContextOffset
 = 0;

019
 
020
__declspec(naked) VOID HookSwap()

021
{

022
 
023
  _asm

024
  {

025
    pushad

026
      pushfd

027
      cli

028
  }

029
 
030
  _asm

031
  {

032
       //
 EDI 是换出的线程上下文

033
         push
 edi

034
      //ESI
 是换入的线程上下文

035
      push
 esi

036
      call
 ProcessData   //搜集进程

037
  }

038
   
039
  _asm

040
  { 

041
    sti

042
      popfd

043
      popad

044
  }

045
  _asm
 jmp DWORD PTR[GoBackAddr]

046
}

047
 
048
/*

049
得到SwapContext地址的原理是

050
用PsLookupThreadByThreadId得到Idle
 System的KTHREAD

051
res=(PCHAR)(Thread->Tcb.KernelStack);

052
SwapAddr=*(DWORD
 *)(res+0x08);

053
*/

054
PCHAR GetSwapAddr()

055
{

056
  PCHAR res
 = 0;

057
  NTSTATUS 
 Status;

058
  PETHREAD
 Thread;

059
   
060
  if (*NtBuildNumber
 <= 2195)

061
    Status
 = PsLookupThreadByThreadId((PVOID)4,
 &(PETHREAD)Thread);

062
  else

063
    Status
 = PsLookupThreadByThreadId((PVOID)8,
 &(PETHREAD)Thread);

064
   
065
  if (NT_SUCCESS(Status))

066
  {

067
    if (MmIsAddressValid(Thread))

068
    {

069
      res
 = (PCHAR)(Thread->Tcb.KernelStack);

070
 
071
    }

072
    if (MmIsAddressValid(res+8))

073
    {

074
      _asm

075
      {

076
        mov
 eax,res

077
          add
 eax,8

078
          mov
 eax,[eax]

079
          mov
 res,eax

080
      }

081
    }

082
    else

083
    {

084
      res
 = 0;

085
      return NULL;

086
    }

087
  }

088
  _asm

089
  {

090
    mov
 eax,res

091
      sub
 eax,5

092
      mov
 ChangAddr,eax

093
      mov
 edx,[eax+1]

094
      mov
 CallContextOffset,edx

095
      add
 eax,edx

096
      add
 eax,5

097
      mov
 GoBackAddr,eax

098
      mov
 res,eax

099
  }

100
  return res;

101
}

102
 
103
 
104
 
105
BOOL  HookSwapFunction(BOOL flag)

106
{ 

107
  if (flag
 == TRUE)

108
  {

109
    KIRQL
 OldIrql=0;

110
    DWORD NewOffset;//HookSwap-ChangAddr-5;

111
    _asm

112
    {

113
      mov
 eax,HookSwap

114
        mov
 edx,ChangAddr

115
        sub
 eax,edx

116
        sub
 eax,5

117
        mov
 NewOffset,eax

118
    }

119
 
120
    PAGED_CODE()

121
      ASSERT(KeGetCurrentIrql()<=DISPATCH_LEVEL);

122
    KeRaiseIrql(2,&OldIrql);//HIGH_LEVEL

123
    __asm

124
    {

125
      CLI

126
        MOV  
 EAX, CR0

127
        AND  
 EAX, NOT 10000H  //disable
 WP bit

128
        MOV  
 CR0, EAX

129
    }

130
    _asm

131
    {

132
      mov
 eax,ChangAddr

133
        push
 NewOffset

134
        pop
 dword ptr[eax+1]

135
         
136
    }

137
     
138
    __asm

139
    {

140
      MOV  
 EAX, CR0

141
        OR   
 EAX, 10000H  //enable
 WP bit

142
        MOV  
 CR0, EAX

143
        STI

144
    }

145
     
146
     
147
    KeLowerIrql(OldIrql);

148
     
149
  }

150
  //Bug
 Check 0xD1: DRIVER_IRQL_NOT_LESS_OR_EQUAL

151
   
152
  else

153
  {

154
    KIRQL
 OldIrql=0;

155
    KeRaiseIrql(2,&OldIrql);///HIGH_LEVEL

156
    __asm

157
    {

158
      CLI

159
        MOV  
 EAX, CR0

160
        AND  
 EAX, NOT 10000H  //disable
 WP bit

161
        MOV  
 CR0, EAX

162
    }

163
     
164
    _asm

165
    {

166
      mov
 eax,ChangAddr

167
        push
 CallContextOffset

168
        pop
 dword ptr[eax+1]

169
    }

170
     
171
     
172
    __asm

173
    {

174
      MOV  
 EAX, CR0

175
        OR   
 EAX, 10000H  //enable
 WP bit

176
        MOV  
 CR0, EAX

177
        STI

178
    }

179
    KeLowerIrql(OldIrql);

180
    //   
 DbgPrint("HookSwapFunctionFALSE");//jution

181
  }

182
   
183
}

184
 
185
PEPROCESS
 processObject (PETHREAD ethread) {

186
  return  (PEPROCESS)(ethread->Tcb.ApcState.Process);

187
}

188
 
189