HOOK技术的Ring0级进程保护组件设计和实现.pdfVIP

基于SSDT HOOK 技术的Ring0 级进程保护组件设计与实现 基于SSDT HOOK 技术的Ring0 级进程保护组件 设计与实现 北京理工大学 杨蛟龙(jiaolong@) 摘 要 本文介绍了Windows 下利用SSDT （系统服务描述符表） HOOK 技术实现 对进程的保护功能——包括进程信息隐藏（进程防打开）和进程防结束——的原 理，同时介绍了通过开发 Windows 驱动程序的方式获得 Ring0 级权限实现对 SSDT 的读取操作，以及进程保护组件的 DLL 封装、接口定义；最后通过对组 件的测试验证了 SSDT HOOK 技术实现进程保护的有效性以及本组件的可用性 及可移植性。 关键字：SSDT，Hook，驱动，Ring0 ，进程保护 1 / 21 基于SSDT HOOK 技术的Ring0 级进程保护组件设计与实现 目录 1. 背景介绍3 2. SSDT Hook 技术4 2.1 SSDT 简介4 2.2 进程保护功能分析5 2.3 SSDT HOOK 实现6 2.4 钩子函数实现9 3. 内核驱动程序 11 3.1 WDM 基本结构 11 3.2 驱动程序开发 12 4. 组件封装 15 4.1 DLL 简介 15 4.2 DLL 开发 16 5. 组件测试 18 5.1 MFC 程序调用测试 18 5.2 C#.Net 程序调用测试20 6. 参考文献21 2 / 21 基于SSDT HOOK 技术的Ring0 级进程保护组件设计与实现 1. 背景介绍 进程保护这一思想很早就出现，现在大多数的杀毒软件等安全防护软件均带 有对自身进程保护的功能，这是为了防止病毒等恶意程序破坏进程的运行。相对 的，很多病毒为了防止被发现或终止，提高自己的运行权限，隐藏自己、保护自 己不被终止。 然而并不是只有病毒及杀毒软件有对自己的进程进行保护的需求，很多软 件，如网吧、机房等的监控系统、计费系统等，以及一些必须确保自身运行过程 中不被强行中断，否则会导致数据丢失、操作系统崩溃等严重后果的软件系统， 都需要对自身进行必要的防护，防止恶意行为或者操作者的误操作引起的损失。 高权限的进程保护关系到操作系统底层，并不是所有语言都容易开发高权限 进程保护功能，尤其是基于代码托管的语言。目前，实现进程保护的软件均将进 程保护功能嵌入在软件内，没有专门的组件提供进程保护功能。因此我们想利用 C++实现一套专门提供进程隐藏、进程保护的组件，以DLL （Dynamic Link Lib ） 的形式呈现给软件开发者，使其通过调用即可实现对进程的高权限保护，而不必 在乎其软件本身的开发语言。 进程保护的实现方式多种多样，当如何做实现高权限（如运行在Ring0 特权 级下）、灵活性（方便的对单个/ 多个进程进行守护）、可移植性等特性成为关键 因素。在选择实现技术时，我们选择了SSDT Hook 技术作为组件的实现方式。 SSDT 为 Windows 操作系统下的系统服务描述符表，这个表是一个把 Ring3 的 Win32 API 和Ring0 的内核API 联系起来的角色。我们利用SSDT 的角色特点， 设计钩子拦截进程操作相关API 调用，实现进程隐藏及进程保护。其中由于SSDT 的读取只能在 Ring0 层完成，于是我们使用了内核驱动并借助 DeviceIoControl 来完成相应操作。