学习心得－－－－seh(4)

解读cih进入ring0的秘密

  看了大家对前面几篇的评论，觉得有点怪异，看来大家对技术的追求还不是那么强烈，声明以下，我写的这些东西或许永远也不会对你的实际应用有帮助，这只是黑客们对技术的研究，如果你的愿望只是一般的编程，这篇文章不适合你。

  这几天开始编一个游戏，以前没有接触过游戏编程，觉得很有意思，还有directX的编程，真得很爽，我估计也就几天的热情吧，呵呵。

  还有，我知道我的老婆每天都来看我的文章，这里问个好：亲爱的tina,你好啊！

  正题。

  我们今天研究的代码主要是进入ring0的实现。首先我们要有几个问题，不知道你们有没有这样的问题，反正我在研究cih的时候是有。

  1、什么是ring0?

  2、为什么要进入ring0？

  3、怎么样才算进入ring0

  现在解答一下。

  什么是ring0呢？windows分4层保护结构，最核心的ring0,最外面的是ring3,ring0层的应用程序可以直接和硬件打交道，其他层的就必须通过hal.dll来调用相应的api来和硬件打交道，所以如果想突破限制，搞些破坏就要进入ring0.

怎么才算进入ring0? 当cs=28,ds=30时就可以认为进入了ring0.

  进入的方法还有很多种，比如什么中断门，陷阱门，调用门，具体请察看微机原理相应的知识。

  怎么通过seh进入呢？记得上一章我们说的lpcontext么？就是靠它了！

  现在说一下流程：

1、设置seh链表

2、触发断点异常int3

3、清除自己触发的异常

4、通过lpcontext修改cs=28,ds=30

这就是主要的了，是不是很简单亚。其实到昨天我还是想不通为什么要通过seh才能修改，今天终于灵光一现，想通了，其实就是看我自己写的第3篇的那段关于lpcontext的话才想到的，呵呵。

 

下面是我学习cih的代码，我也加入了一些注释，你们看吧：

；；；；；；；；；；；；；；；；；；；；；；；；；；我估计这段代码使tasm编译的，和masm有些不一样

include "../inc/win32n.inc"

 

extern    _ExitProcess@4

extern    _GetTickCount@0

extern    _GetStdHandle@4

extern    _MessageBeep@4

extern    _WriteConsoleA@20

 

global _mainCRTStartup

 

SEGMENT .text USE32 class=code

 

_mainCRTStartup

    push    dword STD_OUTPUT_HANDLE                ;

    call    _GetStdHandle@4                        ;获取输出控制屏的句柄

    mov    [stdout],eax                            ;保存句柄

 

    ;******************************************

    ;* 以下这一段是按照SEH必要的方式形成链表

    ;******************************************

    xor    ebx,ebx        ；先清0

    push    dword eh      ;压入自己ExceptHandle指针，即 eh 处

    push    dword [fs:ebx]                        ;压入当前[FS:0] ，想想为什么不直接fs:0?

    mov    [fs:ebx],esp                            ;形成链表形式

 

 

    pushfd                                        ;入栈保存当前EFlags标志寄存器的内容

    mov    eax,esp                                    ;保存当前堆栈指针到 eax

 

    ;******************************************

    ;* 这里将产生断点中断，从而进入异常处理程序

    ;******************************************

    int3

 

    ;******************************************

    ;* 这里是从异常处理程序中返回后来到的地址

    ;******************************************

    mov    ebx,cr3                                    ;以后将会显示ebx的内容，即显示 cr3 的内容

 

    ;**************************************************************************************

    ;* 以下是一种特殊方式的跳转。由于使用 push/iretd 来进行跳转，注意不是 push/retn。

    ;* 所以，在堆栈中要把各个寄存器的内容入栈，这是因为当中断发生时，系统会自动把

    ;* 这些寄存器的内容入栈，而在 iretd 返回时自动出栈。这就是 iretd 和 retn 的区别。

    ;* 另外，由于在异常处理程序中进行了以下修改。所以刚返回时：ECX=CS,CS=28,EDX=SS,SS=30，

    ;* 所以，此时我们看到各寄存器的内容与此相同。这主要是一种演示，或者说是一种简单的应用。

    ;这一段我也不懂，不懂为什么可以达到目的，我和figozhu讨论过，也没有答案，这个我先欠大家的 **************************************************************************************

    push    dword edx        ; GS

    push    dword edx        ; FS

    push    dword edx        ; ES

    push    dword edx        ; DS

    push    dword edx        ; SS

    push    eax                ; ESP

    push    dword [eax]        ; EFLAGS

    push    dword ecx        ; CS

    push    dword .wow        ; EIP

    iretd

.wow

    ;******************************************

    ;* 显示 ebx 的内容

    ;******************************************

    popfd

    call    printaddress

 

    ;******************************************

    ;* 这一段将在SEH链表中清除自己的异常处理

    ;******************************************

    pop    dword [fs:0]                            ;通过出栈的方式修改[FS:0]的内容

    add    esp,4

 

    push    dword MB_ICONASTERISK

    call    _MessageBeep@4                        ;鸣声提示

 

    push    dword 0

    call    _ExitProcess@4                        ;退出程序

;    retn

 

;******************************************

;* 这里是自己的异常处理程序开始

;******************************************

eh

    push    ebp   ；保存ebp,当前指针

    mov    ebp,esp

    push    ebx                                    ;入栈保存

    push    ecx                                    ;入栈保存

 

    ;******************************************

    ;* 这一段为判断异常标志(ExceptionFlags)是否

    ;* 为UNWIND_STACK。

    ;******************************************

    mov    eax,[ebp+8]                                ;[EBP+8]=EXCEPTION_RECORD_ptr，即EAX为EXCEPTION_RECORD的指针 。

    test    dword [eax+4],6                        ;[EAX+4]=EXCEPTION_RECORD_ptr->ExceptionFlags，

                                                ;即判断ExceptionFlags是否为UNWIND_STACK，此在SEH.inc中有定义

    jz    .cont                                    ;是，则跳转

 

    ;******************************************

    ;* 显示 oi

    ;******************************************

    push    dword 0    ；保存现场后调用函数显示

    push    dword written

    push    dword 2

    push    dword oi

    push    dword [stdout]

    call    _WriteConsoleA@20

    mov    eax,1

    jmp    .e

 

.cont

    ;*********************************************************

    ;* 判断异常代码(ExceptionCode)是否为EXCEPTION_BREAKPOINT ，也就是int3

    ;*********************************************************

    mov    ebx,[ebp+8]                                ;[EBP+8]=EXCEPTION_RECORD_ptr，即EAX为EXCEPTION_RECORD的指针           

    mov    eax,1

    cmp    dword [ebx],0x80000003                    ;[EBX]=EXCEPTION_RECORD_ptr->ExceptionCode， int3的异常特征码是0x80000003

                                                ;即判断ExceptionCode是否为EXCEPTION_BREAKPOINT(断点标志)

    jne    .e                                        ;不是，则跳转，返回值EAX为1

 

    ;**********************************************************

    ;* 修改xFrame_RECORD_ptr->cx_Ecx=xFrame_RECORD_ptr->cxSegCs

    ;主要利用context来修改**********************************************************

    mov    eax,[ebp+0x10]                            ;[EBP+10]=xFrame_RECORD_ptr，即EAX为xFrame_RECORD的指针

    movzx    ecx,word [eax+CONTEXT.cx_SegCs]

    mov    [eax+CONTEXT.cx_Ecx],ecx                ;xFrame_RECORD_ptr->cx_Ecx=xFrame_RECORD_ptr->cxSegCs

 

    ;**********************************************************

    ;* 修改xFrame_RECORD_ptr->cx_SegCs=0x28

    ;**********************************************************

    mov    dword [eax+CONTEXT.cx_SegCs],0x28 ;修改cs=28

 

    ;**********************************************************

    ;* 修改xFrame_RECORD_ptr->cx_Edx=xFrame_RECORD_ptr->cxSegSs

    ;**********************************************************

    movzx    ecx, word [eax+CONTEXT.cx_SegSs]

    mov    [eax+CONTEXT.cx_Edx],ecx

 

    ;**********************************************************

    ;* 修改xFrame_RECORD_ptr->cx_SegSs=0x30

    ;**********************************************************

    mov    dword [eax+CONTEXT.cx_SegSs],0x30

;ss=30

    ;**********************************************************

    ;* 修改xFrame_RECORD_ptr->cx_EFlags=0x0200

    ;**********************************************************

    or    dword [eax+CONTEXT.cx_EFlags],0x0200    ;设置EFlags中的IF标志(中断允许标志)为1，即 CLI

 

    ;*********************************************************

    ;* 在控制屏上显示 ebx 的内容

    ;*********************************************************

    mov    ebx,0x12345678

    call    printaddress

 

    ;*********************************************************

    ;* EAX=0，即通知Kernel将继续执行

    ;*********************************************************

    mov    eax,0

 

.e

    pop    ecx                   ;恢复现场                     ;出栈恢复

    pop    ebx                                        ;出栈恢复

    mov    esp,ebp

    pop    ebp

    retn                                        ;返回

;******************************************

;* 这里是自己的异常处理程序结束处 到这里进入ring0也结束了

;******************************************

 

;******************************************

;* 转换ebx的内容为字符形式，并在屏幕上显示

;* ebx为入口参数，代表一个地址

;******************************************

printaddress

    push    ecx            ; just a lame routine to print out

    push    edx            ; a hex address, no explanations ;-)

 

    xor    ecx,ecx

.n

    rol    ebx,4

    mov    dl,bl

    and    dl,0x0F

    cmp    dl,0x9

    ja    .abcdef

    add    dl,'0'

    jmp    .a

.abcdef

    add    dl,'A'-0xA

.a

    mov    [ecx+address],dl

    inc    cl

    cmp    cl,8

    jne    .n

 

    push    dword 0

    push    dword written

    push    dword 9

    push    dword address

    push    dword [stdout]

    call    _WriteConsoleA@20

 

    pop    edx

    pop    ecx

    retn

 

SEGMENT .data USE32 class=data

 

stdout    dd 0

onedot    db '.'

oi    db '!',0x0A

written    dd 0

address    db 0,1,2,3,4,5,6,7,0x0A

；**********************************end********

 

好了，该说得都说了，代码也贴出来了，是不是觉得有点拨云见日的感觉？我是有这种感觉的，以前听他们说怎么怎么难，其实也不过如此，所以没有亲身体会过的人是没有资格评论什么难易的。

 

要随时准备学习新的技术，这是我的心得。接下来准备写点apihook的文章，自己学习也希望和朋友们分享，如果有时间我想每天写一篇文章，比玩游戏好。