NDIS HOOK开发简单日志-优快云博客

今天调试了下uay backdoor, 其实基于ndis hook的想法的rootkit,2003年的时候我已经想过,一直没有动手了,看来实战第一. 呵呵,当然波兰的女hacker的rootkit 似乎也是这个思路,没有公布一点源码,这里我们应该感谢uay; 他在源代码里面也提到是采用了gjp的ndis hook技术---fake protocol,其实就是注册一个假协议获取协议连,从而递归来hook所有的协议驱动的一些收发函数, 关键是2000下和xp,2003的ndis_open_block的结构是不同的,gjp的代码是相当完全,不过没有太多说明,他当然是知道的. 另外是最近公开的部分kernel socket代码,就是核心层自己发包构建协议的意思.

uay的后门完全是在xp下使用xp ddk开发的,所以部分函数直接build无法通过,首先我们可以看到了函数RtlGetVersion函数,在2000的ntddk中可以查阅到此函数,但是已经声明只能在xp以上的系统中使用,我们应该替换这个为

BOOLEAN
  PsGetVersion(
  PULONG  MajorVersion  OPTIONAL,
  PULONG  MinorVersion  OPTIONAL,
  PULONG  BuildNumber  OPTIONAL,
  PUNICODE_STRING  CSDVersion  OPTIONAL
  );

适用系统是nt/2000了, 为了满足多平台这里的框架代码可能要进行调整,好,暂时修改下,build后可以发现error C4013: 'NdisGetPoolFromPacket' undefined这个错误信息,查阅ndisgetpoolfrompacket可以看到此函数只适用与xp以上系统，retrieve the handle to the packet pool from which the packet was allocated,这时候要看看 ndis_packet结构定义了，你会发现_NDIS_PACKET_PRIVATE这个东西，呵呵，所以问题就好办了，

再连续解决这几个问题后，一切ok，下面调试，我们看看系统的_NDIS50_PROTOCOL_CHARACTERISTICS

呵呵，看看2000下的

Local var @ 0xf57cccf8 Type _NDIS50_PROTOCOL_CHARACTERISTICS
   +0x000 MajorNdisVersion : 0xfd ''
   +0x001 MinorNdisVersion : 0x15 ''
   +0x002 Filler           : 0x8043
   +0x004 Reserved         : 1
   +0x004 Flags            : 1
   +0x008 OpenAdapterCompleteHandler : 0x8113c020     +ffffffff8113c020
   +0x00c CloseAdapterCompleteHandler : 0xf57ccdcc     +fffffffff57ccdcc
   +0x010 SendCompleteHandler : 0x00000246     +246
   +0x010 WanSendCompleteHandler : 0x00000246     +246
   +0x014 TransferDataCompleteHandler : 0x80404043     nt!KiUnlockDispatcherDatabase+0
   +0x014 WanTransferDataCompleteHandler : 0x80404043     nt!KiUnlockDispatcherDatabase+0
   +0x018 ResetCompleteHandler : 0xf57ccd44     +fffffffff57ccd44
   +0x01c RequestCompleteHandler : 0xf57ccd9a     +fffffffff57ccd9a
   +0x020 ReceiveHandler   : (null)
   +0x020 WanReceiveHandler : (null)
   +0x024 ReceiveCompleteHandler : (null)
   +0x028 StatusHandler    : 0x8042f09f     nt!KeInsertQueue+0
   +0x02c StatusCompleteHandler : 0xf537420a     ndishook!DriverEntry+0
   +0x030 Name             : _UNICODE_STRING "瓿???"
   +0x038 ReceivePacketHandler : 0x80419079     nt!ExQueueWorkItem+0
   +0x03c BindAdapterHandler : 0x00000001     +1
   +0x040 UnbindAdapterHandler : 0x80421fda     nt!IoQueueWorkItem+0
   +0x044 PnPEventHandler : 0x81119be8     +ffffffff81119be8
   +0x048 UnloadHandler    : 0x00000001     +1
   +0x04c ReservedHandlers : [4] 0xf57ccd64
   +0x05c CoSendCompleteHandler : 0x00000001     +1
   +0x060 CoStatusHandler : (null)
   +0x064 CoReceivePacketHandler : 0xf57ccd9a     +fffffffff57ccd9a
   +0x068 CoAfRegisterNotifyHandler : 0x00000020     +20