内核级hook的几种实现与应用.docxVIP

内核级HOOK的几种实现与应用 创建时间：2003-03-26 文章来源:http://www. whitecell, org 文章提交：sinister (jiasys_at_21cn. com) 内核级HOOK的儿种实现与应用 Author : sinister Email : sin ister@ HomePage: http://www. whitecell, org 实现内核级HOOK对于拦截、分析、跟踪系统内核起着致关重要的作用。实现的方法不同意味 着应用侧重点的不同。如想要拦截NATIVE API那么可能常用的就是HOOK SERVICE TABLE的方 法。如果要分析一些系统调用，那么可能想到用HOOK 1NT 2E中断來实现。如果想要拦截或跟踪其他 内核DRTVER的调用，那么就要用到HOOK PE的方法來实现。这里我们更注重的是实现，原理方而己 有不少高手在网上发表过文章。大家可以结合起来读。下面以我写的儿个实例程序来讲解一下各种方法的 实现。错误Z处还與各位指正。 1、HOOK SERVICE TABLE 方法： 这种方法对于拦截NATIVE APT来说用的比较多。原理就是通过替换系统导 出的一个SERVICE TABLE屮相应的NATIVE API的地址来达到拦截的H的。 因为此方法较为简单，网上也冇不少资料來介绍。所以这里就不给出实例程序了。SERVICE TABLE的结 构如下： typedef struct ServiceDescriptorEntry unsigned int *ServiceTableBase; unsigned int *ServiceCounierTableBase; unsigned int NumberOfServi ces; unsigned char * ParamTableBcise; } ServiceDescriptorTableEntry t, *PServiceDescriptorTableEntry t; 2、HOOK INT 2E 方法： 这种方法对于跟踪、分析系统调用來说用的比较多。原理是通过替换1DT 表屮的INT 2E中断，使Z指向我们白C的中断服务处理例程来实现的。常握此方法需要你对保护模式冇一定的基础。下面的程序演示了这一过程。^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ 表屮的INT 2E中断，使Z指向我们白C的中断服务处理例程来实现的。常握 此方法需要你对保护模式冇一定的基础。下面的程序演示了这一过程。 ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ ^7^ 文件名 WssHookInt2e.c 描述 系统调用跟踪 作者 sinister 最后修改LI期 2002-11-02 ? ? ? ? ? ? ??■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■?■? ? ? ? ? ■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、■、 #include ntddk? h〃 ^define MAKELONG (a, b) ((LONG)(((WORD) (a))((DWORD) ((WORD) (b))) ^define MAKELONG (a, b) ((LONG) (((WORD) (a)) ((DWORD) ((WORD) (b))) ? 16)) ^include ，?string. h ^define DWORD unsigned #define WORD unsigned _ 廿define BYTE unsigned ^define BOOL _int32 _int32 _intl6 __int8 ^define LOWORD(l) ((WORD) (D) ^define HTWORD(l) ((WORD)(((DWORD)(1) ? 16) OxFFFF)) ^define LOBYTE(w) ((BYTE)(w)) ^define HTBYTE(w) ((BYTE)(((WORD)(w) ? 8) OxFF)) ^define SYS