休眠文件.docVIP

Analyze Hibernation File Introduction What’s Hibernation File? Hibernation File也就是系统的休眠文件Hiberfil.sys，位于系统卷的根目录下。windows在系统休眠时，将物理内存中的数据（包括系统运行时的状态数据）dump到Hiberfil.sys，并生成一个有效的文件头。下次系统开机的时候，利用hiberfil.sys文件中的数据恢复系统。 How to generate a valid Hiberfil.sys? 从用户的角度来说，系统停机时，按下休眠按钮，则会自动生成一个有效的Hiberfil.sys。 从电源管理器的角度来说，只有当系统电源状态从S0àS4的时候，才会生成一个有效的休眠文件。 注：当系统正常运行时，电源状态为S0；完全关闭时，电源状态S5；休眠状态时，电源状态S4,此时只有电源电路和唤醒电路才有点滴电流；中间的几个状态S1,S2,S3，都是不同程度的睡眠状态。 从S4àS0的过程，也就是利用Hiberfil.sys恢复系统的过程。 Valuation of Hibernation File It is quick and easy 恢复系统比重启系统要快。不解释（除特殊情况）。 A new method to dump physical memory 利用hibernation技术dump系统物理内存中的数据。这些数据包括处理器状态，当前EIP, IDT table, GDT table, SSDT table,当前状态的可执行代码和数据… 利用这些数据可以分析系统状态。 Leak Information? Yes。正常情况下，利用Hiberfil.sys恢复系统，虽然恢复后会清除掉Hiberfil的Header数据(one page)，使之无效，但是Header之后的数据还会保留。利用外部工具，构造一个Header，就可以读取该Hiberfil.sys的所有信息了。 Defensive uses kernel –land malwares detection 分析hibernation file, 可以通过检查SSDT, IDT, GDT表的完整性来判断系统是否被修改。虽然在内核层有了更为轻量级的方法去检测系统关键表的完整性，但是存在anti对抗问题，hibernation提供了一种终极检测方式。 根据hibernation恢复原理，不在hibernation file中的代码，将不会被恢复执行。基于此，可以对抗SMM rootkit。（不做介绍） Offensive uses 可以获取敏感数据，如：password, keys. 修改hibernation file, 提高某个进程的执行权限；绕过系统登录密码… Hibernation file internals Headline of hibernation process 当磁盘被挂起时（S0àS4），Windows内核(ntoskrnl.exe)执行体创建一个hibernation file，并将物理内存中的数据用LZ77算法压缩后，写入文件。 系统恢复时(S4àS0)，OSLoader.exe读取hibernation file,加载解压后的数据到物理内存中，使系统以一种快捷方式恢复到休眠时的状态。 注：恢复过程的分析，见appendix 1。 Hibernation file structure 先直观的看下文件结构图：（左侧，域列表，是文件结构的组成域） format.jpg下载此附件需要消耗2Kx，下载中会自动扣除。 File Header 位于休眠文件的第一页(0x1000 bytes)数据空间。该结构PO_MEMORY_IMAGE由内核调试符号导出。结构中主要包含了休眠文件的创建日期，版本号，校验和，有效标志，物理页数量等信息。 注：用休眠文件恢复系统时，只有第一页数据被清0，也就是file header，其他数据保留不变。 FreeMap Page 包含一个ulong数组，保存了空闲内存页的映射信息。 Processor 处理器状态，由内核函数KiSaveProcessorControlState保存。包括控制寄存器CRX，GDT, IDT, EIP… 结构定义如下： typedef struct _KPROCESSOR_STATE32 { CONTEXT ContextFrame; // KSPECIAL_REGISTERS SpecialRegisters; // } KPROCESSOR_STATE32, *PKPROC