内核态下基于动态感染技术的应用程序执行保护..docVIP

这一章我们用汇编语言编写一个最简单的内核程序，我们所要完成的所有功能以后都将在今天这个程序的基础上进行增加。 ??????? 也许有些人已经使用DDK作过Windows下内核程序的开发，使用DDK的确是比较好的做法，因为DDK的编译、连接选项都是专门针对内核程序，而且DDK中提供了许多宏，对内核函数的调用和其他代码作了很多安全性的保护，所以我还是建议大家没事不要随便用汇编语言进行内核程序的开发，除非你对汇编语言非常熟悉，而且有自信能驾驭它，否则你还是按部就班地用DDK吧。 ??????? 使用汇编语言开发内核程序，我们只需要安装MASM32V10和KmdKit开发包，不需要安装Plantform SDK和DDK。首先我们将MASM32V10开发包安装到C盘，当然你也可以安装到其它路径，只是后面的汇编和连接选项要作一些修改。将KmdKit开发包安装好，KmdKit的安装很简单，将include目录里的内容拷贝到MASM32的include目录中，将lib目录里的内容拷贝到MASM32的lib目录中，将macros目录中的内容拷贝到MASM32的macros目录中。 ??????? 启动Microsoft Visual Studio 2003，创建一个空白的Win32应用程序，添加DynamicHook.asm文件（这个项目和文件在命名时有点失误，不过名字而已，只不过是个符号，我姑且原谅自己的这个错误）。 ??????? 先把DynamicHook.asm的完整源代码贴出来： ???????? .386 ???????? .model flat,stdcall ???????? option casemap:none ? include? ntddk.inc include? ntoskrnl.inc include? strings.mac ? ???????? .const CCOUNTED_UNICODE_STRING \\Device\\devDHDriver,g_usDeviceName,4 CCOUNTED_UNICODE_STRING \\??\\slDHDriver,g_usSymbolicLinkName,4 ? ???????? .code ? ; DriverUnload? proc pDriverObject:PDRIVER_OBJECT ???? ???? invoke?? DbgPrint,$CTA0(Driverunload) ???? invoke?? IoDeleteSymbolicLink,addrg_usSymbolicLinkName ???? mov????? eax,pDriverObject ???? invoke?? IoDeleteDevice,(DRIVER_OBJECTptr [eax]).DeviceObject ???? ret DriverUnload? endp ; DispatchCreateClose??? proc pDeviceObject:PDEVICE_OBJECT,pIrp:PIRP ???? mov????? eax,pIrp ???? assume?? eax:ptr_IRP ???? mov????? [eax].IoStatus.Status,STATUS_SUCCESS ???? mov????? [eax].IoStatus.Information,0 ???? assume?? eax:nothing ???? invoke?? IoCompleteRequest,pIrp,IO_NO_INCREMENT ???? mov????? eax,STATUS_SUCCESS ???? ret DispatchCreateClose??? endp ; ???????? .code??? INIT ? DriverEntry?? proc pDriverObject:PDRIVER_OBJECT,pusRegistryPath:PUNICODE_STRING ???? local??? status:NTSTATUS ???? local??? pDeviceObject:PDEVICE_OBJECT ? ???? mov????? status,STATUS_DEVICE_CONFIGURATION_ERROR ???? ???? invoke?? IoCreateDevice,pDriverObject,0,addrg_usDeviceName,FILE_DEVICE_UNKNOWN,0,FALSE,addr pDeviceObject ???? .if? eax==STATUS_SUCCESS ???????? invoke?? IoCr