AI 助理
备案控制台
开发者社区 数据库 文章 正文

驱动开发：内核无痕隐藏自身分析

2022-10-28 627
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 在笔者前面有一篇文章`《驱动开发：断链隐藏驱动程序自身》`通过摘除驱动的链表实现了断链隐藏自身的目的，但此方法恢复时会触发PG会蓝屏，偶然间在网上找到了一个作者介绍的一种方法，觉得有必要详细分析一下他是如何实现的驱动隐藏的，总体来说作者的思路是最终寻找到`MiProcessLoaderEntry`的入口地址，该函数的作用是将驱动信息加入链表和移除链表，运用这个函数即可动态处理驱动的添加和移除问题。

在笔者前面有一篇文章《驱动开发：断链隐藏驱动程序自身》通过摘除驱动的链表实现了断链隐藏自身的目的，但此方法恢复时会触发PG会蓝屏，偶然间在网上找到了一个作者介绍的一种方法，觉得有必要详细分析一下他是如何实现的驱动隐藏的，总体来说作者的思路是最终寻找到MiProcessLoaderEntry的入口地址，该函数的作用是将驱动信息加入链表和移除链表，运用这个函数即可动态处理驱动的添加和移除问题。

  • MiProcessLoaderEntry(pDriverObject->DriverSection, 1) 添加
  • MiProcessLoaderEntry(pDriverObject->DriverSection, 0) 移除

那么如何找到MiProcessLoaderEntry函数入口地址就是下一步的目标，寻找入口可以总结为；

  • 1.寻找MmUnloadSystemImage函数地址，可通过MmGetSystemRoutineAddress函数得到。
  • 2.在MmUnloadSystemImage里面寻找MiUnloadSystemImage函数地址。
  • 3.在MiUnloadSystemImage里面继续寻找MiProcessLoaderEntry即可。

搜索MmUnloadSystemImage可定位到call nt!MiUnloadSystemImage地址。

搜索MiUnloadSystemImage定位到call nt!MiProcessLoaderEntry即得到了我们想要的。

根据前面枚举篇系列文章，定位这段特征很容易实现，如下是一段参考代码。

// PowerBy: LyShark
// Email: me@lyshark.com

#include <ntddk.h>
#include <ntstrsafe.h>

typedef NTSTATUS(__fastcall *MiProcessLoaderEntry)(PVOID pDriverSection, BOOLEAN bLoad);

// 取出指定函数地址
PVOID GetProcAddress(WCHAR *FuncName)
{
    UNICODE_STRING u_FuncName = { 0 };
    PVOID ref = NULL;

    RtlInitUnicodeString(&u_FuncName, FuncName);
    ref = MmGetSystemRoutineAddress(&u_FuncName);

    if (ref != NULL)
    {
        return ref;
    }

    return ref;
}

// 特征定位 MiUnloadSystemImage
ULONG64 GetMiUnloadSystemImageAddress()
{
    // 在MmUnloadSystemImage函数中搜索的Code
    /*
    lyshark.com: kd> uf MmUnloadSystemImage
        fffff801`37943512 83caff          or      edx,0FFFFFFFFh
        fffff801`37943515 488bcf          mov     rcx,rdi
        fffff801`37943518 488bd8          mov     rbx,rax
        fffff801`3794351b e860b4ebff      call    nt!MiUnloadSystemImage (fffff801`377fe980)
    */
    CHAR MmUnloadSystemImage_Code[] = "\x83\xCA\xFF"  // or      edx, 0FFFFFFFFh
        "\x48\x8B\xCF"                                // mov     rcx, rdi
        "\x48\x8B\xD8"                                // mov     rbx, rax
        "\xE8";                                       // call    nt!MiUnloadSystemImage (fffff801`377fe980)

    ULONG_PTR MmUnloadSystemImageAddress = 0;
    ULONG_PTR MiUnloadSystemImageAddress = 0;
    ULONG_PTR StartAddress = 0;

    MmUnloadSystemImageAddress = (ULONG_PTR)GetProcAddress(L"MmUnloadSystemImage");
    if (MmUnloadSystemImageAddress == 0)
    {
        return 0;
    }

    // 在MmUnloadSystemImage中搜索特征码寻找MiUnloadSystemImage
    StartAddress = MmUnloadSystemImageAddress;
    while (StartAddress < MmUnloadSystemImageAddress + 0x500)
    {
        if (memcmp((VOID*)StartAddress, MmUnloadSystemImage_Code, strlen(MmUnloadSystemImage_Code)) == 0)
        {
            // 跳过call之前的指令
            StartAddress += strlen(MmUnloadSystemImage_Code);

            // 取出 MiUnloadSystemImage地址
            MiUnloadSystemImageAddress = *(LONG*)StartAddress + StartAddress + 4;
            break;
        }
        ++StartAddress;
    }

    if (MiUnloadSystemImageAddress != 0)
    {
        return MiUnloadSystemImageAddress;
    }
    return 0;
}

// 特征定位 MiProcessLoaderEntry
MiProcessLoaderEntry GetMiProcessLoaderEntry(ULONG64 StartAddress)
{
    if (StartAddress == 0)
    {
        return NULL;
    }

    while (StartAddress < StartAddress + 0x600)
    {
        // 操作数MiProcessLoaderEntry内存地址是动态变化的
        /*
        lyshark.com: kd> uf MiUnloadSystemImage
            fffff801`377fed19 33d2            xor     edx,edx
            fffff801`377fed1b 488bcb          mov     rcx,rbx
            fffff801`377fed1e e84162b4ff      call    nt!MiProcessLoaderEntry (fffff801`37344f64)
            fffff801`377fed23 8b05d756f7ff    mov     eax,dword ptr [nt!PerfGlobalGroupMask (fffff801`37774400)]
            fffff801`377fed29 a804            test    al,4
            fffff801`377fed2b 7440            je      nt!MiUnloadSystemImage+0x3ed (fffff801`377fed6d)  Branch
            E8 call | 8B 05 mov eax
        */

        // fffff801`377fed1e   | fffff801`377fed23
        // 判断特征 0xE8(call) | 0x8B 0x05(mov eax)
        if (*(UCHAR*)StartAddress == 0xE8 && *(UCHAR *)(StartAddress + 5) == 0x8B && *(UCHAR *)(StartAddress + 6) == 0x05)
        {
            // 跳过一个字节call的E8
            StartAddress++;

            // StartAddress + 1 + 4
            return (MiProcessLoaderEntry)(*(LONG*)StartAddress + StartAddress + 4);
        }
        ++StartAddress;
    }
    return NULL;
}

VOID UnDriver(PDRIVER_OBJECT driver)
{
    DbgPrint("卸载完成... \n");
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
    DbgPrint("hello lyshark.com \n");

    ULONG64 MiUnloadSystemImageAddress = GetMiUnloadSystemImageAddress();
    DbgPrint("MiUnloadSystemImageAddress = %p \n", MiUnloadSystemImageAddress);

    MiProcessLoaderEntry MiProcessLoaderEntryAddress = GetMiProcessLoaderEntry(MiUnloadSystemImageAddress);
    DbgPrint("MiProcessLoaderEntryAddress = %p \n", (ULONG64)MiProcessLoaderEntryAddress);

    Driver->DriverUnload = UnDriver;
    return STATUS_SUCCESS;
}

运行驱动程序，即可得到MiProcessLoaderEntryAddress的内存地址。

得到内存地址之后，直接破坏掉自身驱动的入口地址等，即可实现隐藏自身。

// PowerBy: LyShark
// Email: me@lyshark.com
#include <ntddk.h>
#include <ntstrsafe.h>

typedef NTSTATUS(*NTQUERYSYSTEMINFORMATION)(
  IN ULONG SystemInformationClass,
  OUT PVOID   SystemInformation,
  IN ULONG_PTR    SystemInformationLength,
  OUT PULONG_PTR  ReturnLength OPTIONAL);

NTSYSAPI NTSTATUS NTAPI ObReferenceObjectByName(
  __in PUNICODE_STRING ObjectName,
  __in ULONG Attributes,
  __in_opt PACCESS_STATE AccessState,
  __in_opt ACCESS_MASK DesiredAccess,
  __in POBJECT_TYPE ObjectType,
  __in KPROCESSOR_MODE AccessMode,
  __inout_opt PVOID ParseContext,
  __out PVOID* Object
  );

typedef struct _SYSTEM_MODULE_INFORMATION
{
  HANDLE Section;
  PVOID MappedBase;
  PVOID Base;
  ULONG Size;
  ULONG Flags;
  USHORT LoadOrderIndex;
  USHORT InitOrderIndex;
  USHORT LoadCount;
  USHORT PathLength;
  CHAR ImageName[256];
} SYSTEM_MODULE_INFORMATION, *PSYSTEM_MODULE_INFORMATION;

typedef struct _LDR_DATA_TABLE_ENTRY
{
  LIST_ENTRY InLoadOrderLinks;
  LIST_ENTRY InMemoryOrderLinks;
  LIST_ENTRY InInitializationOrderLinks;
  PVOID      DllBase;
  PVOID      EntryPoint;
}LDR_DATA_TABLE_ENTRY, *PLDR_DATA_TABLE_ENTRY;

extern POBJECT_TYPE *IoDriverObjectType;
typedef NTSTATUS(__fastcall *MiProcessLoaderEntry)(PVOID pDriverSection, BOOLEAN bLoad);
ULONG64 MiUnloadSystemImageAddress = 0;

// 取出指定函数地址
PVOID GetProcAddress(WCHAR *FuncName)
{
    UNICODE_STRING u_FuncName = { 0 };
    PVOID ref = NULL;

    RtlInitUnicodeString(&u_FuncName, FuncName);
    ref = MmGetSystemRoutineAddress(&u_FuncName);

    if (ref != NULL)
    {
    return ref;
    }

    return ref;
}

// 特征定位 MiUnloadSystemImage
ULONG64 GetMiUnloadSystemImageAddress()
{
    CHAR MmUnloadSystemImage_Code[] = "\x83\xCA\xFF\x48\x8B\xCF\x48\x8B\xD8\xE8";

    ULONG_PTR MmUnloadSystemImageAddress = 0;
    ULONG_PTR MiUnloadSystemImageAddress = 0;
    ULONG_PTR StartAddress = 0;

    MmUnloadSystemImageAddress = (ULONG_PTR)GetProcAddress(L"MmUnloadSystemImage");
    if (MmUnloadSystemImageAddress == 0)
    {
    return 0;
    }

    // 在MmUnloadSystemImage中搜索特征码寻找MiUnloadSystemImage
    StartAddress = MmUnloadSystemImageAddress;
    while (StartAddress < MmUnloadSystemImageAddress + 0x500)
    {
    if (memcmp((VOID*)StartAddress, MmUnloadSystemImage_Code, strlen(MmUnloadSystemImage_Code)) == 0)
    {
        StartAddress += strlen(MmUnloadSystemImage_Code);
        MiUnloadSystemImageAddress = *(LONG*)StartAddress + StartAddress + 4;
        break;
    }
    ++StartAddress;
    }

    if (MiUnloadSystemImageAddress != 0)
    {
    return MiUnloadSystemImageAddress;
    }
    return 0;
}

// 特征定位 MiProcessLoaderEntry
MiProcessLoaderEntry GetMiProcessLoaderEntry(ULONG64 StartAddress)
{
    if (StartAddress == 0)
    {
    return NULL;
    }

    while (StartAddress < StartAddress + 0x600)
    {
    if (*(UCHAR*)StartAddress == 0xE8 && *(UCHAR *)(StartAddress + 5) == 0x8B && *(UCHAR *)(StartAddress + 6) == 0x05)
    {
        StartAddress++;
        return (MiProcessLoaderEntry)(*(LONG*)StartAddress + StartAddress + 4);
    }
    ++StartAddress;
    }
    return NULL;
}

// 根据驱动名获取驱动对象
BOOLEAN GetDriverObjectByName(PDRIVER_OBJECT *DriverObject, WCHAR *DriverName)
{
    PDRIVER_OBJECT TempObject = NULL;
    UNICODE_STRING u_DriverName = { 0 };
    NTSTATUS Status = STATUS_UNSUCCESSFUL;

    RtlInitUnicodeString(&u_DriverName, DriverName);
    Status = ObReferenceObjectByName(&u_DriverName, OBJ_CASE_INSENSITIVE, NULL, 0, *IoDriverObjectType, KernelMode, NULL, &TempObject);
    if (!NT_SUCCESS(Status))
    {
    *DriverObject = NULL;
    return FALSE;
    }

    *DriverObject = TempObject;
    return TRUE;
}

BOOLEAN SupportSEH(PDRIVER_OBJECT DriverObject)
{
    PDRIVER_OBJECT Object = NULL;;
    PLDR_DATA_TABLE_ENTRY LdrEntry = NULL;

    GetDriverObjectByName(&Object, L"\\Driver\\tdx");
    if (Object == NULL)
    {
        return FALSE;
    }

    // 将获取到的驱动对象节点赋值给自身LDR
    LdrEntry = (PLDR_DATA_TABLE_ENTRY)DriverObject->DriverSection;
    LdrEntry->DllBase = Object->DriverStart;
    ObDereferenceObject(Object);
    return TRUE;
}

VOID InitInLoadOrderLinks(PLDR_DATA_TABLE_ENTRY LdrEntry)
{
    InitializeListHead(&LdrEntry->InLoadOrderLinks);
    InitializeListHead(&LdrEntry->InMemoryOrderLinks);
}

VOID Reinitialize(PDRIVER_OBJECT DriverObject, PVOID Context, ULONG Count)
{
    MiProcessLoaderEntry m_MiProcessLoaderEntry = NULL;
    ULONG *p = NULL;

    m_MiProcessLoaderEntry = GetMiProcessLoaderEntry(MiUnloadSystemImageAddress);
    if (m_MiProcessLoaderEntry == NULL)
    {
        return;
    }

    SupportSEH(DriverObject);

    m_MiProcessLoaderEntry(DriverObject->DriverSection, 0);
    InitInLoadOrderLinks((PLDR_DATA_TABLE_ENTRY)DriverObject->DriverSection);

    // 破坏驱动对象特征
    DriverObject->DriverSection = NULL;
    DriverObject->DriverStart = NULL;
    DriverObject->DriverSize = 0;
    DriverObject->DriverUnload = NULL;
    DriverObject->DriverInit = NULL;
    DriverObject->DeviceObject = NULL;

    DbgPrint("驱动隐藏 \n");
}

VOID UnDriver(PDRIVER_OBJECT driver)
{
  DbgPrint("卸载完成... \n");
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
    DbgPrint("hello lyshark.com \n");

    MiUnloadSystemImageAddress = GetMiUnloadSystemImageAddress();
    MiProcessLoaderEntry MiProcessLoaderEntryAddress = GetMiProcessLoaderEntry(MiUnloadSystemImageAddress);

    // 无痕隐藏
    IoRegisterDriverReinitialization(Driver, Reinitialize, NULL);

    Driver->DriverUnload = UnDriver;
    return STATUS_SUCCESS;
}

运行驱动程序，让后看到如下输出信息；

image.png

参考文献

https://blog.csdn.net/zhuhuibeishadiao/article/details/75658816
https://github.com/ZhuHuiBeiShaDiao/NewHideDriverEx

文章标签：
关系型数据库
Windows
lyshark
目录
相关文章
acc8226
|
编解码 网络协议 Linux
跨平台 scrcpy显示/控制安卓手机方案
• Genymotion、Parallels Desktop 等虚拟机软件 太专业, 需要配置太多软件, 适合开发者. • 国内一批安卓游戏助手都可以一试, 这里我随便下载了一款网易MuMu对字体的显示不太好. 可以尝试一下 傲软投屏（ApowerMirror） • Vysor Pro 收费较贵，免费版广告又多
acc8226
736 0
爱你三千遍斯塔克
|
3月前
|
UED
软件开发常见流程，好的用户体验，智能引导助手，介绍软件相关操作，会画个键盘，对键盘的相关键进行标注，效果动态展示图怎样画？？？？弄一个图标，相关介绍
软件开发常见流程，好的用户体验，智能引导助手，介绍软件相关操作，会画个键盘，对键盘的相关键进行标注，效果动态展示图怎样画？？？？弄一个图标，相关介绍
爱你三千遍斯塔克
28 2
游客zn7mvnkypuy76
|
4月前
|
编译器 API C#
技术心得记录：深入分析C#键盘勾子(Hook)拦截器,屏蔽键盘活动的详解
技术心得记录：深入分析C#键盘勾子(Hook)拦截器,屏蔽键盘活动的详解
游客zn7mvnkypuy76
164 0
热爱技术的小郑
|
2月前
|
Web App开发
成功解决Chrome浏览器 控制台下看不到接口信息的问题
这篇文章提供了解决Chrome浏览器控制台不显示接口信息问题的方法，包括检查过滤设置和确保“保留日志”开关已打开。
热爱技术的小郑
96 0
成功解决Chrome浏览器 控制台下看不到接口信息的问题
格格的阿里云
|
2月前
|
iOS开发 开发者
iOS 16 系统键盘修复问题之汇编层面模拟两次返回操作的实现如何解决
iOS 16 系统键盘修复问题之汇编层面模拟两次返回操作的实现如何解决
格格的阿里云
34 1
天下无贼001
|
4月前
|
搜索推荐 语音技术 Windows
探索Windows操作系统的隐藏功能
【6月更文挑战第5天】本文将揭示Windows操作系统中那些鲜为人知的隐藏功能，从提高生产力到个性化体验，我们将深入探讨这些功能如何提升用户的日常使用效率和乐趣。
天下无贼001
54 4
lyshark
|
5月前
|
监控 Windows
7.4 Windows驱动开发：内核运用LoadImage屏蔽驱动
在笔者上一篇文章`《内核监视LoadImage映像回调》`中`LyShark`简单介绍了如何通过`PsSetLoadImageNotifyRoutine`函数注册回调来`监视驱动`模块的加载，注意我这里用的是`监视`而不是`监控`之所以是监视而不是监控那是因为`PsSetLoadImageNotifyRoutine`无法实现参数控制，而如果我们想要控制特定驱动的加载则需要自己做一些事情来实现，如下`LyShark`将解密如何实现屏蔽特定驱动的加载。
lyshark
62 0
7.4 Windows驱动开发：内核运用LoadImage屏蔽驱动
游客4llb6htoixmxw
|
JavaScript
关于 Cypress 同界面元素交互的讨论
关于 Cypress 同界面元素交互的讨论
游客4llb6htoixmxw
42 0
不脱发的程序猿
LabVIEW修改应用程序窗口外观
LabVIEW修改应用程序窗口外观
不脱发的程序猿
149 0
3it3iap2n2xxu
触摸屏实验(触摸屏介绍+硬件设计+软件设计。注：软件部分代码过长，理解即可)
触摸屏实验(触摸屏介绍+硬件设计+软件设计。注：软件部分代码过长，理解即可)
3it3iap2n2xxu
172 0
触摸屏实验(触摸屏介绍+硬件设计+软件设计。注：软件部分代码过长，理解即可)