TP的学习笔记：实现在Win64上的MBR保护工具(无需关闭PatchGuard!)

tangptr@126.com

记得前天我发了一个关于制作一个MBR保护器的帖子，只不过那个是在Win32下可用的，在Win64下不可用。现在，就来制作一个基于x64的MBR保护器。
32位MBR保护器的帖子地址：http://www.m5home.com/bbs/forum.php?mod=viewthread&tid=8573&_dsign=9b6ec8f9
由于在Win64上有PatchGuard，我们不能搞Hook SSDT之类的事情，所以，在x64上是不能搞上次那个初级保护版的了。而这一次，我们把目光投到上一次的高级保护上面。上一次的高级保护，是指Hook Disk.sys的IRP_MJ_READ和IRP_MJ_WRITE两个例程实现防止读写MBR，这一次我们同样要Hook这两个例程。
可能会有人问，不是有PatchGuard吗？搞Disk Hook真的不会蓝屏吗？事实上，的确不会蓝屏。PatchGuard只会管ntkrnlpa.exe,hal.dll,ndis.sys之类的。而这个分发例程所在的classpnp.sys不管这玩意。
其实说句实话，这份代码和32位版的差别并不大。
先是挂钩和恢复例程

1. void StartHook()
   
2. {
   
3.         NTSTATUS st;
   
4.         UNICODE_STRING uniDiskName;
   
5.         RtlInitUnicodeString(&uniDiskName,L"\\Driver\\Disk");
   
6.         st=ObReferenceObjectByName(&uniDiskName,OBJ_CASE_INSENSITIVE,0,0,*IoDriverObjectType,KernelMode,0,&DiskDrvObj);
   
7.         if(NT_SUCCESS(st))
   
8.         {
   
9.                 IrpMjRead=(IRP_MJ_SERIES)InterlockedExchangePointer(&DiskDrvObj->MajorFunction[IRP_MJ_READ],fake_IrpMjRead);
   
10.                 IrpMjWrite=(IRP_MJ_SERIES)InterlockedExchangePointer(&DiskDrvObj->MajorFunction[IRP_MJ_WRITE],fake_IrpMjWrite);
    
11.                 IsHooked=TRUE;
    
12.         }
    
13. }
    
14. 
    
15. void StopHook()
    
16. {
    
17.         InterlockedExchangePointer(&DiskDrvObj->MajorFunction[IRP_MJ_READ],IrpMjRead);
    
18.         InterlockedExchangePointer(&DiskDrvObj->MajorFunction[IRP_MJ_WRITE],IrpMjWrite);
    
19.         ObDereferenceObject(DiskDrvObj);
    
20.         IsHooked=FALSE;
    
21. }

复制代码

接着就是过滤用的伪例程

1. NTSTATUS fake_IrpMjWrite(IN PDEVICE_OBJECT DeviceObject,IN PIRP Irp)
   
2. {
   
3.         NTSTATUS status = STATUS_SUCCESS;
   
4.         IO_STACK_LOCATION  *irpsp= IoGetCurrentIrpStackLocation(Irp);
   
5.         LARGE_INTEGER WriteOffsetInBytes= irpsp->Parameters.Write.ByteOffset;
   
6.         ULONG64 writeLength = irpsp->Parameters.Write.Length;
   
7.         LARGE_INTEGER Sectionpos={0};
   
8.         ULONG64 SectorRange;
   
9.         BOOLEAN IsDeniedAccess = FALSE;
   
10.         do
    
11.         {
    
12.                 Sectionpos.HighPart = 0;
    
13.                 Sectionpos.LowPart = 0x200;
    
14.                 SectorRange= WriteOffsetInBytes.QuadPart/Sectionpos.QuadPart;
    
15.                 if(SectorRange==0 && DeviceObject->DeviceType==FILE_DEVICE_DISK)
    
16.                 {
    
17.                         IsDeniedAccess =TRUE;
    
18.                         break;
    
19.                 }
    
20.         }while(0);
    
21.         if (IsDeniedAccess)
    
22.         {
    
23.                 Irp->IoStatus.Information=writeLength;
    
24.                 Irp->IoStatus.Status=STATUS_ACCESS_DENIED;
    
25.                 IoCompleteRequest(Irp,IO_NO_INCREMENT);
    
26.                 status=STATUS_ACCESS_DENIED;
    
27.         }
    
28.         else
    
29.         {
    
30.                 status=IrpMjWrite(DeviceObject,Irp);
    
31.         }
    
32.         return status;
    
33. }
    
34. 
    
35. NTSTATUS fake_IrpMjRead(IN PDEVICE_OBJECT DeviceObject,IN PIRP Irp)
    
36. {
    
37.         NTSTATUS status = STATUS_SUCCESS;
    
38.         IO_STACK_LOCATION  *irpsp= IoGetCurrentIrpStackLocation(Irp);
    
39.         LARGE_INTEGER ReadOffsetInBytes= irpsp->Parameters.Read.ByteOffset;
    
40.         ULONG64 readLength = irpsp->Parameters.Write.Length;
    
41.         LARGE_INTEGER Sectionpos={0};
    
42.         ULONG64 SectorRange;
    
43.         BOOLEAN IsDeniedAccess = FALSE;
    
44.         do
    
45.         {
    
46.                 Sectionpos.HighPart = 0;
    
47.                 Sectionpos.LowPart = 0x200;
    
48.                 SectorRange= ReadOffsetInBytes.QuadPart/Sectionpos.QuadPart;
    
49.                 if(SectorRange==0 && DeviceObject->DeviceType==FILE_DEVICE_DISK)
    
50.                 {
    
51.                         IsDeniedAccess =TRUE;
    
52.                         break;
    
53.                 }
    
54.         }while(0);
    
55.         if (IsDeniedAccess)
    
56.         {
    
57.                 Irp->IoStatus.Information=readLength;
    
58.                 Irp->IoStatus.Status=STATUS_ACCESS_DENIED;
    
59.                 IoCompleteRequest(Irp,IO_NO_INCREMENT);
    
60.                 status=STATUS_ACCESS_DENIED;
    
61.         }
    
62.         else
    
63.         {
    
64.                 status=IrpMjWrite(DeviceObject,Irp);
    
65.         }
    
66.         return status;
    
67. }

复制代码

编译的时候要选择用x64 Checked Build Environment，注意别选到ia64或者x86上面去了！如图所示：

编译选项

经测试，MBR读写器无法实现读写MBR。如图所示：

测试效果

p.s:本文附带的附件，其附件描述摘自Hovi.Delphic的帖子，由于TP的学习笔记系列是安利给大家的，所以既不设置阅读权限，也不设置水晶币
此外顺带在附件里加了有数字签名版和无数字签名版。我测试的时候是关了DSE用无签名版测试的。。。

Tesla.Angela

不错。不过，这句代码不需要用ULONG64。

1. ULONG64 readLength = irpsp->Parameters.Write.Length;

复制代码

tangptr@126.com

好像是这么回事啊。。。不过“山寨”是个什么情况。。。

陌路人

顶一下,太深奥了,代码我就不要了.也看不懂

baichimm

谢谢

safeho

顶一下

n36437517

谢楼主分享。。。。。。

860000023

谢谢分享，

tangptr@126.com

简单更新了一下，把驱动的Checked编译模式改成了Free，顺带加了数字签名，调用者改成默认以Admin权限执行，这下不必关闭DSE了。

jumpbin

顶一下