Hook SwapContext技巧-优快云博客

pjf(jfpan20000@sina.com)
    接着上次的小话题说。
    上次提到因为想要无需硬编码的方案从而未选用SwapContext，后来又想了想用SwapContext也基本不用硬编码，但因为用了其它做法，没有再实现hook SwapContext了。前两天难得放假，写了一下看看效果。
    首先进入2000的SwapContext中，看看它作了什么。

0008:8040422C  OR        CL,CL
0008:8040422E  MOV       BYTE PTR ES:[ESI+2D],02
0008:80404233  PUSHFD                                          //ESP+4 -> EFLAGS
0008:80404234  MOV       ECX,[EBX]
0008:80404236  CMP       DWORD PTR [EBX+0000080C],00
0008:8040423D  PUSH      ECX                                 //ESP -> exception list
0008:8040423E  JNZ       80404338
0008:80404244  MOV       EBP,CR0
0008:80404247  MOV       EDX,EBP
0008:80404249  MOV       CL,[ESI+2C]
0008:8040424C  MOV       [EBX+50],CL
0008:8040424F  CLI
0008:80404250  MOV       [EDI+28],ESP                    //将ESP存入了KTHREAD的KernelStack
0008:80404253  MOV       EAX,[ESI+18]
0008:80404256  MOV       ECX,[ESI+1C]
... ...
    很明显，ESP+8的地方就是在KiSwapThread中的调用SwapContext的返回地址，可由它得到SwapContext函数地址，但没必要，直接hook这个在KiSwapThread中的地址更好些。也可以直接修改上面那条Call指令。
    下面的问题就是找出一个KernelStack可访问的非当前线程，这个很容易。示例代码片断（在2000/XP测试）：

以下内容为程序代码:

PCHAR GetSwapAddr()
{
PCHAR res = 0;
NTSTATUS Status;
PETHREAD Thread;

if (*NtBuildNumber <= 2195)
Status = PsLookupThreadByThreadId((PVOID)4, &Thread);
else
Status = PsLookupThreadByThreadId((PVOID)8, &Thread);

if (NT_SUCCESS(Status))
{
if (MmIsAddressValid(Thread))
res = (PCHAR)*PULONG(PCHAR(Thread)+0x28);
if (MmIsAddressValid(res+8))
res = (PCHAR)*PULONG(res+8);
else
res = 0;
}

return res;
}

PBYTE GoBackAddr = 0;
__declspec(naked) VOID HookSwap()
{
_asm pushad
DbgPrint("%08x/n", KeGetCurrentThread());
_asm popad
_asm jmp DWORD PTR[GoBackAddr]
}

HookSwapFunc()
{
... ...
PCHAR SwapAddr = GetSwapAddr();
if (SwapAddr)
GoBackAddr = HookFunction(SwapAddr, HookSwap);
... ...
}

    HookFunction代码的具体实现自然是仁者见仁了。
    下面是一些结果：

4.343  Default    SwapAddr=80404141
4.343  Default    813b8c00
4.343  Default    fe995480
4.359  Default    81429660
4.359  Default    81429260
4.359  Default    805e5520
4.359  Default    813e15c0
4.359  Default    8139f500
4.359  Default    8139f260
4.375  Default    805e5520
4.375  Default    812ea140
4.390  Default    805e5520
4.390  Default    8139f500
4.390  Default    8139f260
4.406  Default    805e5520
4.422  Default    805e5520
4.422  Default    fe995480
4.422  Default    fe995480
4.422  Default    fe995480
4.422  Default    8139f500
4.422  Default    8139f260
4.422  Default    813a66e0

    没仔细想，可能有错，欢迎指出。