logo
搜索
我的图书馆

发文章

发文工具

其他工具

留言交流
搜索
分享

Hook SSDT NtOpenProcess的完整代码

 guoliyan1 2012-02-04
Hook SSDT NtOpenProcess的完整代码

以下是通过Hook SSDT NtOpenProcess保护进程的完整代码，对喜欢HOOK的初学者帮助很大

驱动代码Protect.C:
  1. #include "ntddk.h"
  2. #define NT_DEVICE_NAME      L"\\Device\\ProtectProcess"
  3. #define DOS_DEVICE_NAME     L"\\DosDevices\\ProtectProcess"
  4. #define IOCTL_PROTECT_CONTROL CTL_CODE(FILE_DEVICE_UNKNOWN, 0x800, METHOD_BUFFERED, FILE_ANY_ACCESS)
  5. NTSTATUS DispatchDeviceControl(IN PDEVICE_OBJECT  DeviceObject,IN PIRP  Irp);
  6. VOID OnUnload(IN PDRIVER_OBJECT DriverObject);
  7. #pragma pack(1)        //SSDT表的结构
  8. typedef struct ServiceDescriptorEntry {
  9.         unsigned int *ServiceTableBase;
  10.         unsigned int *ServiceCounterTableBase; //Used only in checked build
  11.         unsigned int NumberOfServices;
  12.         unsigned char *ParamTableBase;
  13. } ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;
  14. #pragma pack()
  15. __declspec(dllimport) ServiceDescriptorTableEntry_t KeServiceDescriptorTable;        //变量名是不能变的,因为是从外部导入
  16. //这个是查询某个函数的地址的一个宏
  17. #define SYSTEMSERVICE(_function)  KeServiceDescriptorTable.ServiceTableBase[*(PULONG)((PUCHAR)_function+1)]

  19. NTSYSAPI NTSTATUS NTAPI ZwOpenProcess(OUT PHANDLE ProcessHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,IN PCLIENT_ID ClientId OPTIONAL);
  20. typedef NTSTATUS (*ZWOPENPROCESS)(OUT PHANDLE ProcessHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,IN PCLIENT_ID ClientId OPTIONAL);

  22. ZWOPENPROCESS OldZwOpenProcess;
  23. long pid = -1;

  25. NTSTATUS NewZwOpenProcess(OUT PHANDLE ProcessHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,IN PCLIENT_ID ClientId OPTIONAL)
  26. {
  27.         //用来替换的新函数
  28.         NTSTATUS nStatus = STATUS_SUCCESS;
  29.         if((long)ClientId->UniqueProcess == pid)
  30.         {
  31.                 DbgPrint("保护进程 PID:%ld\n",pid);
  32.                 return STATUS_ACCESS_DENIED;
  33.         }

  35.         //剩下的交给我们的原函数
  36.         nStatus = OldZwOpenProcess(ProcessHandle,DesiredAccess,ObjectAttributes,ClientId);
  37.         return STATUS_SUCCESS;
  38. }

  40. VOID OnUnload(IN PDRIVER_OBJECT DriverObject)
  41. {
  42.         //卸载时会调用
  43.         UNICODE_STRING DeviceLinkString;
  44.         PDEVICE_OBJECT DeviceObjectTemp1=NULL;
  45.         PDEVICE_OBJECT DeviceObjectTemp2=NULL;

  47.         DbgPrint("驱动程序卸载...\n");

  49.         RtlInitUnicodeString(&DeviceLinkString,DOS_DEVICE_NAME);
  50.         IoDeleteSymbolicLink(&DeviceLinkString);
  51.         if(DriverObject)
  52.         {
  53.                 DeviceObjectTemp1=DriverObject->DeviceObject;
  54.                 while(DeviceObjectTemp1)
  55.                 {
  56.                         DeviceObjectTemp2=DeviceObjectTemp1;
  57.                         DeviceObjectTemp1=DeviceObjectTemp1->NextDevice;
  58.                         IoDeleteDevice(DeviceObjectTemp2);
  59.                 }
  60.         }  
  61.         DbgPrint("设备已经卸载\n");

  63.         DbgPrint("修复SSDT表\n");
  64.         (ZWOPENPROCESS)(SYSTEMSERVICE(ZwOpenProcess)) = OldZwOpenProcess;

  66.         DbgPrint("驱动卸载完毕.\n");
  67. }

  69. NTSTATUS DispatchDeviceControl(IN PDEVICE_OBJECT  DeviceObject,IN PIRP  Irp)
  70. {
  71.         //IRP_MJ_DEVICE_CONTROL的响应函数
  72.         NTSTATUS nStatus = STATUS_SUCCESS;
  73.         ULONG IoControlCode = 0;
  74.         PIO_STACK_LOCATION IrpStack = NULL;

  76.         long* inBuf = NULL;
  77.         char* outBuf = NULL;
  78.         ULONG inSize = 0;
  79.         ULONG outSize = 0;
  80.         PCHAR buffer = NULL;
  81.         PMDL mdl = NULL;

  83.         Irp->IoStatus.Status = STATUS_SUCCESS;
  84.         Irp->IoStatus.Information = 0;

  86.         IrpStack = IoGetCurrentIrpStackLocation(Irp);

  88.         switch(IrpStack->MajorFunction)
  89.         {
  90.         case IRP_MJ_CREATE:
  91.                 DbgPrint("IRP_MJ_CREATE 被调用\n");
  92.                 break;
  93.         case IRP_MJ_CLOSE:
  94.                 DbgPrint("IRP_MJ_CLOSE 被调用\n");
  95.                 break;
  96.         case IRP_MJ_DEVICE_CONTROL:
  97.                 DbgPrint("IRP_MJ_DEVICE_CONTROL 被调用\n");
  98.                 IoControlCode = IrpStack->Parameters.DeviceIoControl.IoControlCode;
  99.                 switch(IoControlCode)
  100.                 {
  101.                 case IOCTL_PROTECT_CONTROL:
  102.                         inSize = IrpStack->Parameters.DeviceIoControl.InputBufferLength;
  103.                         outSize = IrpStack->Parameters.DeviceIoControl.OutputBufferLength;                        
  104.                         inBuf = (long*)Irp->AssociatedIrp.SystemBuffer;
  105.                 
  106.                         pid = *inBuf;
  107.                         DbgPrint("===========================\n");
  108.                         DbgPrint("IOCTL_PROTECT_CONTROL 被调用,通讯成功!\n");
  109.                         DbgPrint("输入缓冲区大小: %d\n",inSize);
  110.                         DbgPrint("输出缓冲区大小: %d\n",outSize);
  111.                         DbgPrint("输入缓冲区内容: %ld\n",*inBuf);
  112.                         DbgPrint("当前保护进程ID: %ld\n",pid);
  113.                         DbgPrint("===========================\n");        
  114.                         
  115.                         strcpy(Irp->UserBuffer,"OK!\n");
  116.                         break;
  117.                 default:
  118.                         break;
  119.                 }
  120.                 break;
  121.         default:
  122.                 DbgPrint("未知请求包被调用\n");
  123.                 break;
  124.         }

  126.         nStatus = Irp->IoStatus.Status;

  128.         IoCompleteRequest(Irp,IO_NO_INCREMENT);

  130.         return nStatus;
  131. }

  133. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING theRegistryPath)
  134. {
  135.         //驱动入口函数
  136.         NTSTATUS        ntStatus = STATUS_SUCCESS;
  137.         UNICODE_STRING  ntDeviceName;
  138.         UNICODE_STRING  DeviceLinkString;
  139.         PDEVICE_OBJECT  deviceObject = NULL;

  141.         DbgPrint("驱动程序加载...\n");

  143.         RtlInitUnicodeString( &ntDeviceName, NT_DEVICE_NAME );

  145.         ntStatus = IoCreateDevice(
  146.                 DriverObject,
  147.                 0,
  148.                 &ntDeviceName,
  149.                 FILE_DEVICE_UNKNOWN,
  150.                 0,
  151.                 FALSE,
  152.                 &deviceObject );

  154.         if ( !NT_SUCCESS( ntStatus ) )
  155.         {
  156.                 DbgPrint("无法创建驱动设备");
  157.                 return ntStatus;
  158.         }

  160.         RtlInitUnicodeString(&DeviceLinkString,DOS_DEVICE_NAME);
  161.         ntStatus=IoCreateSymbolicLink(&DeviceLinkString,&ntDeviceName);

  163.         if(!NT_SUCCESS(ntStatus))
  164.         {
  165.                 return ntStatus;
  166.         }

  168.         DriverObject->MajorFunction[IRP_MJ_CREATE] = DispatchDeviceControl;
  169.         DriverObject->MajorFunction[IRP_MJ_CLOSE] = DispatchDeviceControl;
  170.         DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = DispatchDeviceControl;
  171.         DriverObject->DriverUnload = OnUnload;

  173.         DbgPrint("驱动程序已经启动\n");

  175.         DbgPrint("修改SSDT表...\n");

  177.         //修改 ZwOpenProcess 函数地址
  178.         OldZwOpenProcess =(ZWOPENPROCESS)(SYSTEMSERVICE(ZwOpenProcess));
  179.         (ZWOPENPROCESS)(SYSTEMSERVICE(ZwOpenProcess)) = NewZwOpenProcess;

  181.         DbgPrint("驱动程序加载完毕.\n");

  183.         return STATUS_SUCCESS;
  184. }
复制代码
安装驱动的源代码：
  1. #include <stdio.h>
  2. #include <stdlib.h>
  3. #include <windows.h>
  4. #include <process.h>

  6. #define BUF_SIZE 4096

  8. int main(int argc,char* argv[])
  9. {
  10.         char path[BUF_SIZE];
  11.         char base[BUF_SIZE];
  12.         char sername[BUF_SIZE];
  13.         char disname[BUF_SIZE];
  14.         memset(path,0,BUF_SIZE);
  15.         memset(base,0,BUF_SIZE);
  16.         memset(sername,0,BUF_SIZE);
  17.         memset(disname,0,BUF_SIZE);
  18.         
  19.         SC_HANDLE rh = NULL;
  20.         SC_HANDLE sh = NULL;
  21.         if (argc == 1)
  22.         {
  23.                 printf("use: install/start/uninstall\n");
  24.                 exit(0);
  25.         }
  26.         
  27.         ::GetModuleFileName(0,base,BUF_SIZE);
  28.         int p = strlen(base);
  29.         while(base[p] != '\\'){p--;}
  30.         strncpy(path,base,p+1);
  31.         memset(base,0,BUF_SIZE);
  32.         sprintf(base,"%sInstall.ini",path);
  33.         memset(path,0,BUF_SIZE);
  34.         ::GetPrivateProfileString("Config","Path","",path,BUF_SIZE,base);
  35.         ::GetPrivateProfileString("Config","ServiceName","",sername,BUF_SIZE,base);
  36.         ::GetPrivateProfileString("Config","DisplayName","",disname,BUF_SIZE,base);

  38.         printf("[*]Service Name:%s\n",sername);
  39.         printf("[*]Display Name:%s\n",disname);
  40.         printf("[*]Driver  Path:%s\n",path);
  41.         
  42.         
  43.         sh = OpenSCManager(NULL,NULL,SC_MANAGER_ALL_ACCESS);
  44.         
  45.         if (!sh){
  46.                 printf("[-]Error OpenSCManger.\n");
  47.                 exit(0);
  48.         }
  49.         
  50.         
  51.         if (argc == 2 && !strcmp(argv[1],"install"))
  52.         {
  53.                 if (!strcmp(path,""))
  54.                 {
  55.                         printf("[-]error read Install.ini\n");
  56.                         exit(0);
  57.                 }
  58.                 
  59.                 rh = CreateService(sh,sername,disname,
  60.                         SERVICE_ALL_ACCESS,
  61.                         SERVICE_KERNEL_DRIVER,
  62.                         //{
  63.                         //SERVICE_SYSTEM_START,
  64.                         SERVICE_DEMAND_START,
  65.                         //}
  66.                         SERVICE_ERROR_NORMAL,
  67.                         path,
  68.                         NULL,NULL,NULL,NULL,NULL);

  70.                 if (!rh){
  71.                         printf("[-]error CreateService.\n");
  72.                         exit(0);
  73.                 }

  75.                 printf("[-]Install Service Complete...\n");
  76.         }else if (argc == 2 && !strcmp(argv[1],"start"))
  77.         {

  79.                 rh = OpenService(sh,sername,SERVICE_ALL_ACCESS);

  81.                 if (!rh){
  82.                         printf("error OpenService.\n");
  83.                         exit(0);
  84.                 }

  86.                 StartService(rh,NULL,NULL);

  88.                 printf("[-]Start Service Complete...\n");

  90.         }else if (argc == 2 && !strcmp(argv[1],"uninstall"))
  91.         {
  92.                 rh = OpenService(sh,sername,SERVICE_ALL_ACCESS);

  94.                 if (!rh){
  95.                         printf("error OpenService.\n");
  96.                         exit(0);
  97.                 }

  99.                 SERVICE_STATUS ss;
  100.                 ControlService(rh,SERVICE_CONTROL_STOP,&ss);

  102.                 printf("[-]Stop Service Complete...\n");

  104.                 DeleteService(rh);

  106.                 printf("[-]Delete Service Complete...\n"); 
  107.         }

  109.         CloseServiceHandle(rh);
  110.         CloseServiceHandle(sh);

  112.         return 1;
  113. }
复制代码
调用驱动的应用程序代码：
  1. #include <stdio.h>
  2. #include <stdlib.h>
  3. #include <windows.h>
  4. #include <winioctl.h>

  6. #define IOCTL_HELLO_CONTROL CTL_CODE(FILE_DEVICE_UNKNOWN, 0x800, METHOD_BUFFERED, FILE_ANY_ACCESS)

  8. int main(int argc,char* argv[])
  9. {
  10.         long pid = 0;
  11.         char ret[4096];
  12.         DWORD ReBytes = 0;
  13.         HANDLE hDevice=CreateFile("\\\\.\\ProtectProcess",GENERIC_READ|GENERIC_WRITE,0,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);
  14.         if(hDevice==INVALID_HANDLE_VALUE)
  15.         {
  16.                 if (2 == GetLastError())
  17.                 {
  18.                         printf("驱动程序未注册\n");
  19.                 }else
  20.                         printf("CreateFile() GetLastError reports %d\n",GetLastError());
  21.                 return FALSE;
  22.         }

  24.         memset(ret,0,4096);
  25.         printf("控制台版进程保护器\n");
  26.         printf("请输入需要保护的进程PID:");
  27.         scanf("%ld",&pid);
  28.         DeviceIoControl(hDevice,IOCTL_HELLO_CONTROL,&pid,sizeof(long),ret,4096,&ReBytes,NULL);

  30.         printf("Return Value:%s\n",ret);

  32.         CloseHandle(hDevice);
  33.         system("pause");
  34.         return 1;
  35. }
复制代码

    本站是提供个人知识管理的网络存储空间，所有内容均由用户发布，不代表本站观点。请注意甄别内容中的联系方式、诱导购买等信息，谨防诈骗。如发现有害或侵权内容，请点击一键举报。
    转藏 分享 献花（0）

    来自： guoliyan1 > 《vc》

    举报/认领

    0条评论

    发表

    请遵守用户 评论公约

    类似文章 更多