作者:VXK/CVC.GB
时间:2005-02-05
每次上driverdevelop总看到有人问怎么在Ring0下调用Ring3的代码——
Ring3使用Ring0已经是地球人全知道的事情了，但是ring0下使用ring3的代码
恐怕很少有人知道,Ratter和Benny这两个高人以及Elzc的作者Elzcor各自提出
过一种方法。总结起来就是三种方法，Zombie在2004年也提出过一个方法看起
来像是Ratter和Elzcor的方法结合而成~
当然说其本质都是一种思想把ring3代码搞到ring3的空间去执行，听起来
大家也好像有所明白了吧，Benny的方法是在Ring0的向Ring3进程插入代码执行，
Ratter则是Hook KAPIZ等待用户层调用发生把ring3代码放回Ring3空间，利用
KeUserModeCallBack来执行，Elzcor则是自己建立一个进程把代码内存感染到
进程执行。Zombie取两家之长搞的~。
今天我来向大家介绍的更像是Ratter和Benny的方法结合，对于Benny的方法，
我不完全采用，我采用的思想仍然是代码放回Ring3空间~
首先无论如何我们都要有一个进程~
习习~Windows提供强大的kernel函数帮我们虐待用户~
PsSetCreateProcessNotifyRoutine摄定好NotifyRoutine在创建进程时我们就
可以yy进程了~
通过DDK文档MSDN的大叔的帮助，这个函数
PsSetCreateProcessNotifyRoutine有两个参数
返回值是NTSTATUS型，第一个参数是回调函数NotifyRoutine,第二个参数是Bool型的
如果第二个参数为False表示设定NotifyRoutine,为True就是取消~
NotifyRoutine的形式如下
NotifyRoutine proc dwParentId:DWORD, dwProcessId:DWORD, bCreate:BOOL
这样我们就可以获得一个进程了~~xixi~~
我们的NotifyRoutine只处理dwProcessId和dwProcessId,对bCreate不用理，通过使用ps
函数PsLookupProcessByProcessId得到PEPROCESS结构(得不到结构的不处理),再取进程Name
如果是Explore且插入标识无就开始我们的插入~(选Explore的原因我就不用说了吧？)
插入时我采用Ratter的方法，于是乎就要用KeAttachProcess，Attach到进程然后开始
工作~~呵呵~~
插完了就用回调CallBackUserMode~~然后DetachProcess...
KeUserModeCallBack的参数
NTSTATUS KeUserModeCallback (
IN ULONG ApiNumber,
IN PVOID InputBuffer,
IN ULONG InputLength,
OUT PVOID *OutputBuffer,
IN PULONG OutputLength
)
可能看不出来怎么使它返回UserMode执行任意代码，但是如果你看看win2ksrc/private/ntos/ke/i386/
下的callback.c和callout.asm就会发现世界真奇妙~~~居然KiCallUserMode回调的是~~~~~xixi~~~~
我不说了，大家应该自己研究一下吧~
另外我提一下参数传递的问题，这里使用KeUserModeCallBack必须要用有效的InputBuffer和OutputBuffer
当KeUserModeCallBack发生时，调用我们的Ring3代码参数传入的方式好像是PUSH进来的
KiCallUserMode中回调USER的时KiServiceExit回自动的飞向我们的代码~
类似发生下面的事情~
(
;这些代码并非真的在KiCallUserMode里存在~
;只是我个人的猜测，因为softice跟到最后到处是[ebx+xxx],[esi+xxx]这样的东西~
;实在难说~做后使用jmp _KiServiceExit返回ring3的代码更是头大~
;不过分析的说可能是栈传入参数~
;如果看ntos/ke/i386/下的分析，估计会更头大~它的栈传递和stack变换等等搞的很晕~~
;不过可以肯定的说，就是已经到了ring3了，我们自己做个检测不就行了？
;hehe~具体到底是怎么传递的呢？大家做个检测吧，我不说了~
;正确的函数传递方式：Kernel是怎么运行我们的函数的~
push Outlength
push lpOutBuffer
push Inlength
push lpInBuffer
push API_NUMBER
call KeUserCallBackDispatch
KeUserCallBackDispatch:
add esp,4
pop edx ;edx=Api_Number
mov eax,fs:[PcTeb]
mov eax,[eax].TebPeb
mov eax,[eax].PebKernelCallbackTable
call [eax+edx*4] ;Real Call To [EAX+EDX*4],hehe~~
;我们计算的api_number被还原了~~~xixi~~~下面的代码里有那个计算~~呵呵~~
)
虽然是这样的，但是我还是劝各位不要用KeUserModeCallBack来传递参数给我们的Ring3代码，要传递也应
该使用其它方法——比如Ratter把参数Copy到Ring3代码后面，然后再代码里重定位到地方取参数~
返回参数EAX是KeUserModeCallBack的，因而要想要返回参数就要传递outsize为strlen(lpoutbuf)就行了~~
如果非要传递，应该小心一些~因为可能蓝屏~我也不知道为什么~呵呵~
我还有一种方法就是覆盖KeUserCallbackDispatcher为我们Ring3代码的地址----大多数情况下会蓝，然后
用KeUserModeCallBack执行，这样我们就可以通过一个常见systemcall_number来执行我们代码，另外通过分析ntos/ps/psinit.c
我发现KeUserCallbackDispathcer就是NTDLL里的KiUserCallbackDispatcher~~~习习~~~
那样避免蓝屏要用在进程空间改写KiUserCallBackDispatch和插入代码~
内核空间改写的话，要指向内核地址，ring3代码要插入内核的NTDLL空间中~
记得不论在哪里改写都要最后调用原函数~~~！！！！！！！！！~~~~
......(这种方法是我最z发现的阿阿----其实是听erx大哥讲的一个思路~)
再多说就成了教唆犯罪了~
在ring0调用Ring3的代码的续
利用建立新的APC方法回调代码——原创者不详~
这种方法一般应用用户层和内核驱动之间有交互——KeUserModeCallBack的是插入回调，
Infect是感染进程~
但是建立新APC的方法更温柔一些，呵呵~~
所用到的函数是两个undoc的函数，具体的原始形态实在是简单——感谢Open Source Windows~~~
VOID
KeInitializeApc (
IN PRKAPC Apc,//我们要自己初始化这个OurApc=ExAllocatePool(NonPagedPool, sizeof(struct _KAPC));
IN PRKTHREAD Thread,//目标线程——用户层交互的话，直接KeGetCurrentThread()好了
IN KAPC_ENVIRONMENT Environment,//应该添0，就是CurrentApcEnvironment
IN PKKERNEL_ROUTINE KernelRoutine,//我们的APC处理函数MyApcRoutine,在APC_LEVEL上运行，很恐怖的高级,kernel mode apc!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
IN PKRUNDOWN_ROUTINE RundownRoutine OPTIONAL,//添NULL，
IN PKNORMAL_ROUTINE NormalRoutine OPTIONAL,//添入我们的ring3层的Ring3App代码线性地址,其实是user mode 的APC处理Routine，~~~privalige非常吓人~~~
IN KPROCESSOR_MODE ApcMode OPTIONAL,//1,使用NormRoutine
IN PVOID NormalContext OPTIONAL//第一个参数~~~我们ring3层代码的，习习
)
完成APC初始化后，我们要插入我们的APC了
BOOLEAN
KeInsertQueueApc (
IN PRKAPC Apc,//OurApc
IN PVOID SystemArgument1,//Ring3App的第二个参数arg2
IN PVOID SystemArgument2,//Ring3App的第三个参数arg3
IN KPRIORITY Increment//0
)
Ring3层代码的样子：：
void Ring3App(ulong arg1,ulong arg2,ulong arg3);
我们在kernel mode 的APC
//我们也可以在这做点什么，不过APC_LEVEL这个高级别东西，我们最好还是不要做什么大动作~
void MyApcRoutine(struct _KAPC *Apc,//Apc结构不说了吧？
PKNORMAL_ROUTINE norm_routine,//我们的Ring3App地址
void *context,//arg1
void *SysArg1,//arg2
void *SysArg2)//arg3
{
ExFreePool(Apc);
return;
}
整体的思想的代码：
//in kernel mode
PKAPC OurApc;
void SendApc(ulong addr,ulong arg1,ulong arg2,ulong arg3)
{
PKTHREAD thread=KeGetCurrentThread();
OurApc=ExAllocatePool(NonPagedPool, sizeof(struct _KAPC));
KeInitializeApc(OurApc, thread, 0,
(PKKERNEL_ROUTINE)&MyApcRoutine, 0,
(PKNORMAL_ROUTINE)addr, 1, (PVOID)arg1);
KeInsertQueueApc(OurApc, (PVOID)arg2, (PVOID)arg3, 0);
*((unsigned char *)thread+0x4a)=1;//这句代码强制线程发生APC调用~
//kthread+0x4a的地方是KTHREAD->ApcState(kthread+0x34)->UserApcPending(ApcState+0x16)~~~
//xixi~~~
return ;
}
//in user mode
void Ring3App(ulong arg1,ulong arg2,ulong arg3)
{
....
}
void SendQp(..)
{
....
SendBuf = BuildUpIrp(IRP_XXX_YYYY);
SendBuf->BackAddr=(ULONG)Ring3App;
....
ReturnBuf = SendIrp(hDevice,SendBuf,sizeof(SendBuf));
....
....