软件工程内核级HOOK的几种实现与应用.docVIP

内核级HOOK的几种实现与应用 实现内核级HOOK对于拦截、分析、跟踪系统内核起着致关重要的作用。实现的方法不同意味着应 用侧重点的不同。如想要拦截NATIVE API那么可能常用的就是HOOK SERVICE TABLE的方法。如 果要分析一些系统调用，那么可能想到用HOOK INT 2E屮断来实现。如果想要拦截或跟踪其他内核 DRIVER的调用，那么就要用到HOOK PE的方法來实现。这里我们更注重的是实现，原理方面已有不少 高手在网上发表过文章。大家对以结合起来读。下面以我写的几个实例程序来讲解一下各种方法的实现。 错误Z处还望各位指正。 1 HOOK SERVICE TABLE 方法： 这种方法对于拦截NATIVE API来说用的比较多。原理就是通过替换系统导 出的-?个SERVICE TABLE中相应的NATIVE API的地址来达到拦截的目的。 因为此方法较为简单，网上也有不少资料來介绍。所以这里就不给出实例程序了。SERVICE TABLE的结 构如下： typedef struct ServiceDescriptorEntry { unsigned int *ServiceTableBase； unsigned int *ServiceCounterTableBase； unsigned int NumberOfServices； unsigned char *ParamTableBase； } ServiceDescriptorTableEntry_t, *PServiceDescriptorTa； 2、HOOK INT 2E 方法： 这种方法对于跟踪、分析系统调用來说用的比较多。原理是通过替换IDT 表中的INT 2E中断，使Z指向我们口己的中断服务处理例程来实现的。掌握 此方法需要你对保护模式有一定的基础。下面的程序演示了这一过程。 文件名 WssHookInt2e.c 描述 系统调用跟踪 作者 sinister 最麻修改口期 2002-11-02 #include ntddk.hn #include Hstring.hn #define DWORD unsigned int32 #defineWORD unsigned#defineBYTE unsignedintl6int8#define BOOL #define WORD unsigned #define BYTE unsigned intl6 int8 #define BOOL int32 #defineLOWORD(1)((WORD)#defineHIWORD(l) #define LOWORD(1) ((WORD) #define HIWORD(l) ((WORD) #define LOBYTE(w) ((BYTE) #define HIBYTE(w) ((BYTE) (1)) (((DWORD)(1) 16) OxFFFF)) (w)) (((WORD)(w) 8) OxFF)) #define MAKELONG(a, b) ((LONG) (((WORD) (a)) ((DWORD) ((WORD) (b))) 16)) #define SYSTEMCALL 0x2e #define SYSNAME System #define PROCESSNAMELEN 16 #pragma pack(1) //定义IDTR typedef struct tagIDTR { WORD IDTLimit; WORD LowIDTbase; WORD HilDTbase； }IDTR, *PIDTR; //定义IDT typedef struct tagIDTENTRY{ WORD OffsetLow； WORD selector； BYTE unused_lo; unsigned char unused_hi:5； unsigned char DPL:2； unsigned char P：1； WORD OffsetHigh; } IDTENTRYz *PIDTENTRY; #pragma pack() DWORD Oldlnt2eService; ULONG ProcessNameOffset; TCHAR ProcessName[PROCESSNAMELEN]； static NTSTATUS MydrvDispatch (IN PDEVICE_OBJECT Deviceobject, IN PIRP Irp)； VOID DriverUnload (IN PDRIVER_OBJECT pDriverObject); ULONG GetProcessNameOffset()； VOID GetProcessName( PCHAR Name