狙剑V测试版进程保护初探.docVIP

狙剑V2008-0218测试版进程保护初探 在作毕业设计之余实在无聊，就在电脑中随手点开狙剑，来回倒腾着，突然对狙剑的进程保护产生了兴趣，就用icesword以及电脑中所收集的其它ARK工具在虚拟机中来对狙剑的进程保护测试，发现用icesword也不能结束它，其它的ARK工具，很多在结束它时反而让它给结束了。于是就决定对它的进程保护深入研究下。 首先看看它都挂了进程相关的哪些函数，用Rootkit Unhooker v3.7的Code Hooks选项来查看系统中被hook的函数的情况，发现内核函数PsLookupThreadByThreadId和KeInsertQueueApc被inline hook到SnipeSword.sys模块中。在pjf大牛的终止进程的内幕.一文中，我们知道线程的终止其实就是线程的“自杀”，系统通过KeInitializeApc/KeInsertQueueApc把一个APC插入核心态或者用户态中，使线程在运行中自己调用PspExitThread自行了断，因此snipesword的进程防杀还是很底层的，难怪那么多工具结束不了它。我们从被hook到的地址0x f410e570和0Xf7b304cb来看，好像在该驱动自己申请的非分页内存中。于是打开windbg，切换到本机内核调试中准备看看这个地址的内容，发现windbg不能连接本机，看来是作了反调试的处理，于是又运行了softice，结果。。。又发现不能下断点。。。。 于是只好重新运行icesword，在进程中选择snipesword.exe进程，右键菜单选择内存读写，在起始地址中输入0xf7b30570，长度中输入0xff，然后点读内存，之后点反汇编，就是这个位置的hook PsLookupThreadByThreadId代码： f7b30570 PUSH EBP f7b30571 MOV EBP,ESP f7b30573 ADD ESP,-4 f7b30576 PUSHAD f7b30577 MOV EAX,[EBP+8] f7b3057a CMP EAX,[F7B3D044] f7b30580 JNZ SHORT F7B3058C f7b30582 POPAD f7b30583 MOV EAX,C0000022 f7b30588 LEAVE f7b30589 RETN 8 f7b3058c PUSH DWORD PTR [EBP+C] f7b3058f PUSH DWORD PTR [EBP+8] f7b30592 CALL F7B305A2 f7b30597 MOV [EBP-4],EAX f7b3059a POPAD f7b3059b MOV EAX,[EBP-4] f7b3059e LEAVE f7b3059f RETN 8 f7b305a2 MOV EDI,EDI f7b305a4 PUSH EBP f7b305a5 MOV EBP,ESP f7b305a7 NOP f7b305a8 NOP f7b305a9 NOP f7b305aa NOP f7b305ab NOP f7b305ac NOP f7b305ad NOP f7b305ae NOP f7b305af NOP f7b305b0 NOP f7b305b1 NOP f7b305b2 PUSH 80579A8A f7b305b7 RETN 拷贝到文本编辑器中，又用同样的方法获取另一个地址处hook KeInsertQueueApc的代码， f7b304cb PUSH