N種内核注入DLL的思路及实现.doc

N种内核注入DLL的思路及实现 本帖被 binjo 执行取消置顶操作(2008-12-21) Author :? sudami? [sudami@163.com] Time? :? 01-11-2008 Links? :? /sudami ? ? 内核注入，技术古老但很实用。现在部分RK趋向无进程,玩的是SYS+DLL，有的无文件，全部存在于内存中。可能有部分人会说：“都进内核了.什么不能干？”。是啊，要是内核中可以做包括R3上所有能做的事，软件开发商们也没必要做应用程序了。有时，我们确实需要R3程序去干驱动做起来很困难或者没必要驱动中去做的事，进程 /? DLL是不错的选择，但进程目标太大，所以更多的同学趋向于注DLL。 ? ? 若要开发安全软件、小型工具，可借鉴其思路，Anti Rootkits时，在某些极端情况下，可使用同样的技术发现、清除RK，保证用户电脑的正常使用。在此，我将探讨几种内核注入DLL的思路及实现原理。 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? (1) APC技术 ? ? 给一个Alertbale的用户态线程插APC，让其执行其中的ShellCode,来执行我们的代码。这个方法简单易行，但是不够稳定，兼容性不好。测试中发现经常出现Explorer.exe等插崩溃的情况，而且有杀软在的情况下，插入有时会被拦截，起不到应有的效果。(可参考我以前逆过的一个驱动：逆向fuck.sys--编译通过--源码) ? ? ? ? ? ? ? ? ? (2) 内核Patch? [url=file://KnownDLLs/Kernel32.dll]\\KnownDLLs\\Kernel32.dll[/url] CreateThread ? ? [url=file://KnownDLLs/]\\KnownDLLs[/url]是系统加载时对象管理器加载必威体育精装版磁盘DLL到内存的，当其他进程想调用某个DLL时，就不用重复从磁盘加载了，而会从这里映射一份到自己的进程空间中去。这样给我们做全局Patch提供了一个很好的机会： ? ? ? ? ZwOpenSection打开 [url=file://KnownDlls/kernel32.dll]\\KnownDlls\\kernel32.dll[/url]，调用ZwMapViewOfSection映射一份到自己进程空间，然后寻找kernel32.dll在内存中代码节的空隙，选择这里作为我们fake函数的存储Buffer。修改CreateThread函数的开头5字节跳转到这个间隙，当系统任何一个线程创建时，会走到CreateThread函数，然后执行空隙中的ShellCode，其负责调用LoadLibrary加载我们的DLL。DLL一经加载，会发IOCTL通知本驱动，让驱动卸载HOOK。这样就完成了内核注DLL的过程。测试时发现Svchost.exe进程调用CreateThread函数很频繁，所以触发也会很快，基本1秒不到就能将DLL加载进去，而我们的HOOK也卸掉了。所以稳定性提高不少。示意图如下： (3) 内核 HOOK ZwMapViewOfSection ? ? 有部分模块加载时会调用ZwMapViewOfSection,比如进程创建时映射N份DLL到自己的虚拟空间中去.我们替换SSDT中的这个函数,过滤出是加载Kernel32.dll的情况,从参数中取得其基址,Inline Hook其EAT中的CreateThread函数,跳转到在这个进程虚拟地址空间中申请的Buffer,在其中完成DLL的加载过程. 关键API: ZwAllocateVirtualMemory ---- 在此进程空间中分配内存,存放Shellcode ZwProtectVirtualMemory ---- 使当前内存块具有可读可写属性 IoAllocateMdl ---- 创建MDL 关键Code如下: ? ? 同方法2相比，原理类似。但修改时机不同，效果差不多，只是注入DLL的时间会慢一些。至于Shellcode的编写,就大同小异了.萝卜白菜各有所爱，主要看个人发挥。要是闲写shellcode麻烦，请到看雪学院去查资料，模板很多，在这里就不YY了。 ? ? 【看雪读书月】学习ShellCode编写 ? ? [note]一个简单的Shellcode ? ? shellcode之小小琢磨 ? ? Add_Section (4) 内核 HOOK NtCreateThread ? ? 跟踪进程创建的流程，会很明晰的发现有多点可以patch来实现DLL的注入。 ? ? 进程创建完时是一