- 前面写过一个应用层的查找谁占用了我们的文件的程序WhoUseMe
http://blog.youkuaiyun.com/qq_18218335/article/details/62884657
从文中截图可以看出来，普通的应用层程序虽然可以达到枚举句柄的目的，但是对于一部分具有特殊权限的文件及端口句柄来说，调用NtQueryObject函数可能导致线程挂起，对此我们的解决办法是让一个单独的线程执行NtQueryObject函数，然后定时检查其运行状况，如果阻塞的话，killthread 并重新生成一个新的线程来执行NtQueryObject操作。这样做虽然可以避免整个程序的死锁。但是没有驱动的帮助，有些时候依然无法查找到我们所需要找的文件。今天我们就来实现这个WhoUseMe的驱动版本。
对象相关知识回顾
- 首先复习一下关于句柄和对象管理的知识
- 每个内核对象都只是一个内存块，它由操作系统内核分配，并只能由操作系统内核访问。这个内存块是一个数据结构，其成员维护着与对象相关的信息。
- 应用程序不能在内存中定位这些数据结构并直接更改其内容。应用程序对不同类型的对象的操作是通过特定的例程进行的。如：NtCreateObject 对应创建Job 对象，NtCreateFile 对应创建文件对象等等。
- 句柄值进程相关—每个进程有一个进程句柄表。进程间可以共享同一个内核对象。
- 内核对象的所有者是操作系统内核，而非普通进程。
- 对象的生存期：操作系统销毁使用计数为0的内核对象，系统中不存在没有被任何进程引用的内存对象。必须了解特定函数对于对象的操作是否会改变其引用计数，并严格遵守使用规则，在使用前增加引用计数，释放后减少引用计数。
- 常用的操作函数
| 函数名 | 作用 | 注意 |
|---|---|---|
| ObReferenceObjectByHandle | 在当前进程的句柄表或内核句柄表中找到相应的表项 | 该函数会增加对象的引用计数 |
| ObReferenceObjectByPointer | 递增对象的指针引用计数PointerCount | |
| ObpLookupEntryDirectory | 给定一个对象名，在特定的目录节点下面寻找目标对象 | 单层搜索，找到则增加对象的引用计数 |
| ObpLookupObjectName | 同上，逐层搜索 | |
| ObOpenObjectByName | 根据对象名打开一个对象 | 里面会调用ObpLookupObjectName 函数，返回目标对象的句柄，会增加引用计数 |
| ObReferenceObjectByName | 同上，返回的是对象的指针 | 会增加引用计数 |
| ObDereferenceObject | 递减对象的引用计数 | 传入的是对象指针 |
为达成目标而进行的小测试
- 我们在之前的文章中已经知道了枚举系统所有句柄的方法，如今的问题就是对于部分句柄调用NtQueryObject 会造成线程阻塞，驱动要解决的就是这个问题，那么，驱动中如何得到对象的名称呢？
http://bbs.pediy.com/thread-118325.htm
WinXP 对象头中有NameInfoOffset域，而Win7 使用了一种更加巧妙的方法：
// 这是上面的作者给出的代码
PVOID ObQueryNameInfo(IN PVOID Object)
{
POBJECT_HEADER ObjectHeader=OBJECT_TO_OBJECT_HEADER(Object);
BYTE InfoMask=ObjectHeader->InfoMask;
ULONG NameInfo=0;
if(InfoMask & OB_INFOMASK_NAME)
{
NameInfo=(ULONG)ObjectHeader - ObpInfoMaskToOffset[InfoMask & (OB_INFOMASK_NAME+OB_INFOMASK_CREATOR_INFO)];
}
else
{
NameInfo=0;
}
return (PVOID)NameInfo;
}
// 这是ntoskernel 逆向得到的代码，互相印证
if ( *(In_Object - 22) & 2 )
v9 = (signed __int64)&v7->PointerCount - ObpInfoMaskToOffset[*(In_Object - 22) & 3];
- 探索用户线程调用不成功的原因
- 代码如下，当我们线程阻塞时，得到导致阻塞的句柄值
SetEvent(ThreadContext->StartEventHandle);
if ((Status = WaitForSingleObject(ThreadContext->CompletedEventHandle, 100)) != WAIT_OBJECT_0)
{
// 操作超时或者发生错误，KillThread
//TerminateThread(ThreadContext->TargetHandle, 0);
char szBuffer[0x10] = { 0 };
sprintf(szBuffer, "%d", ThreadContext->ThreadHandle);
MessageBoxA(NULL, szBuffer, NULL, 0);得到如下截图：
之后我们在WinDbg 中得到对象的内容如下。
1: kd> dt _FILE_OBJECT 0xfffffa8032880ca0
nt!_FILE_OBJECT
+0x000 Type : 0n5
+0x002 Size : 0n216
+0x008 DeviceObject : 0xfffffa80`3151e3c0 _DEVICE_OBJECT
+0x010 Vpb : (null)
+0x018 FsContext : 0x00000000`00010101 Void
+0x020 FsContext2 : 0xfffff8a0`0bc84d60 Void
+0x028 SectionObjectPointer : (null)
+0x030 PrivateCacheMap : 0x00000000`00000001 Void
+0x038 FinalStatus : 0n0
+0x040 RelatedFileObject : (null)
+0x048 LockOperation : 0 ''
+0x049 DeletePending : 0 ''
+0x04a ReadAccess : 0 ''
+0x04b WriteAccess : 0 ''
+0x04c DeleteAccess : 0 ''
+0x04d SharedRead : 0 ''
+0x04e SharedWrite : 0 ''
+0x04f SharedDelete : 0 ''
+0x050 Flags : 0x40082
+0x058 FileName : _UNICODE_STRING "\QQ_771765819_pipe"
+0x068 CurrentByteOffset : _LARGE_INTEGER 0x0
+0x070 Waiters : 0
+0x074 Busy : 1
+0x078 LastLock : (null)
+0x080 Lock : _KEVENT
+0x098 Event : _KEVENT
+0x0b0 CompletionContext : (null)
+0x0b8 IrpListLock : 0
+0x0c0 IrpList : _LIST_ENTRY [ 0xfffffa80`32880d60 - 0xfffffa80`32880d60 ]
+0x0d0 FileObjectExtension : (null) 查看被阻塞线程的调用堆栈如下：
- 内核实现
#define IOCTL_WUM_GET_OBJ_NAME CTL_CODE(\
FILE_DEVICE_UNKNOWN, \
0x800, \
METHOD_NEITHER, \
FILE_ANY_ACCESS)
// 使用的是自定义的I/O
typedef struct _DEVICE_EXTENSION {
PDEVICE_OBJECT pDevice;
UNICODE_STRING ustrDeviceName; //设备名称
UNICODE_STRING ustrSymLinkName; //符号链接名
PUCHAR buffer;//缓冲区
} DEVICE_EXTENSION, *PDEVICE_EXTENSION;
typedef struct {
ULONG dwProcessId;
HANDLE hObjHandle;
PUNICODE_STRING pUnicodeString;
}STRUCT_GET_OBJ_NAME,*PSTRUCT_GET_OBJ_NAME;
NTSTATUS DispatchDeviceControl(PDEVICE_OBJECT DeviceObject,PIRP Irp)
{
NTSTATUS Status = STATUS_SUCCESS;
PVOID InputBuffer = NULL;
ULONG_PTR InputSize = 0;
ULONG_PTR IoControlCode = 0;
PIO_STACK_LOCATION IrpSp;
PSTRUCT_GET_OBJ_NAME pGetName;
PEPROCESS pprocess;
HANDLE handle;
KPROCESSOR_MODE referenceMode;
KAPC_STATE apcState;
PVOID object;
IrpSp = IoGetCurrentIrpStackLocation(Irp);
InputBuffer = IrpSp->Parameters.DeviceIoControl.Type3InputBuffer;
InputSize = IrpSp->Parameters.DeviceIoControl.InputBufferLength;
IoControlCode = IrpSp->Parameters.DeviceIoControl.IoControlCode;
switch(IoControlCode)
{
case IOCTL_WUM_GET_OBJ_NAME:
{
if (InputBuffer!=NULL)
{
if (!MmIsAddressValid(InputBuffer))
{
Irp->IoStatus.Status = STATUS_UNSUCCESSFUL;
Irp->IoStatus.Information = 0;
break;
}
__try
{
ProbeForRead(InputBuffer,sizeof(STRUCT_GET_OBJ_NAME),sizeof(ULONG_PTR));
pGetName = (PSTRUCT_GET_OBJ_NAME)InputBuffer;
if(!NT_SUCCESS(PsLookupProcessByProcessId(pGetName->dwProcessId,&pprocess)))
{
DbgPrint("Error: Unable to reference the target process.");
Irp->IoStatus.Status = STATUS_UNSUCCESSFUL;
Irp->IoStatus.Information = 0;
break;
}
if (pprocess == PsInitialSystemProcess)
{
handle = MakeKernelHandle(pGetName->hObjHandle);
referenceMode = KernelMode;
}
else
{
if (IsKernelHandle(pGetName->hObjHandle))
{
ObDereferenceObject(pprocess);
Irp->IoStatus.Status = STATUS_UNSUCCESSFUL;
Irp->IoStatus.Information = 0;
break;
}
referenceMode = Irp->RequestorMode;
handle = pGetName->hObjHandle;
}
// 挂载到目标进程
KeStackAttachProcess(pprocess, &apcState);
// 得到句柄对应的对象
Status = ObReferenceObjectByHandle(
handle,
0,
NULL,
referenceMode,
&object,
NULL
);
KeUnstackDetachProcess(&apcState);
if(!NT_SUCCESS(Status))
{
ObDereferenceObject(pprocess);
Irp->IoStatus.Status = STATUS_UNSUCCESSFUL;
Irp->IoStatus.Information = 0;
break;
}
QueryNameObject(object,pGetName->pUnicodeString);
Status = Irp->IoStatus.Status = STATUS_SUCCESS;
break;
}
__except(EXCEPTION_EXECUTE_HANDLER)
{
Irp->IoStatus.Information = 0;
Status = Irp->IoStatus.Status = STATUS_UNSUCCESSFUL;
break;
}
}
Irp->IoStatus.Information = 0;
Status = Irp->IoStatus.Status = STATUS_SUCCESS;
break;
}
default:
{
Irp->IoStatus.Status = STATUS_UNSUCCESSFUL;
Irp->IoStatus.Information = 0;
break;
}
}
IoCompleteRequest(Irp,IO_NO_INCREMENT);
return Status;
}
void QueryNameObject(PVOID object,PUNICODE_STRING pUnicodeString)
{
POBJECT_TYPE objectType;
ULONG dwRetLength = 0;
int i = 0;
ProbeForRead(pUnicodeString,sizeof(UNICODE_STRING),sizeof(ULONG_PTR));
ProbeForWrite(pUnicodeString->Buffer,pUnicodeString->MaximumLength,sizeof(WCHAR));
ObQueryNameString(object,(POBJECT_NAME_INFORMATION)pUnicodeString,pUnicodeString->MaximumLength + sizeof(UNICODE_STRING),&dwRetLength);
}
- 关于Zw 和 Nt 函数
ntdll中，Nt 和 Zw 是一样的。Ntoskrnl.exe 中Zw 函数eax 为中断号，edx 为函数的参数的起始地址，之后中断，调用函数。Nt 函数则直接调用内核函数。即Nt在内核中为实现代码，Zw 仍然通过中断来实现功能。Zw 函数总是通过中断调用内核函数（一个是内核模式调用，一个是用户模式调用）。而Nt 函数在Ring3 显然必须通过中断进入内核。但在Ring0 中则为直接的实现者，直接调用内核函数。
扫一扫
4306
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
