[原创]Win10遍历句柄表+修改权限过Callback保护

zjr230506 发表于 2016-7-5 00:47:38

本帖最后由 zjr230506 于 2016-7-5 00:49 编辑

本想发到看雪，但自己太菜，看雪“牛人”又太多，想想还是发到紫水晶吧。
感谢 TA 的 WIN64 教程带我走上驱动之路，想想除了个 VIP 账号就没教过学费，以后多在论坛发帖来回报一下吧。

正篇：
XP 和 Win7 上关于句柄表的文章不少，一点不懂的朋友请自行百度谷歌搜索，方法没变，依旧使用 ExpLookupHandleTableEntry 。

主要说说 Win10 的变化，相较于 Win7 这两个结构体有所改变： HANDLE_TABLE 和 HANDLE_TABLE_ENTRY ，另外多了一个 HANDLE_TABLE_FREE_LIST 。

根据 WinDBG 逆向出的结构定义如下：
1: kd> dt nt!_HANDLE_TABLE
+ 0x000 NextHandleNeedingPool : Uint4B
+ 0x004 ExtraInfoPages : Int4B
+ 0x008 TableCode : Uint8B
+ 0x010 QuotaProcess : Ptr64 _EPROCESS
+ 0x018 HandleTableList : _LIST_ENTRY
+ 0x028 UniqueProcessId : Uint4B
+ 0x02c Flags : Uint4B
+ 0x02c StrictFIFO : Pos 0, 1 Bit
+ 0x02c EnableHandleExceptions : Pos 1, 1 Bit
+ 0x02c Rundown : Pos 2, 1 Bit
+ 0x02c Duplicated : Pos 3, 1 Bit
+ 0x02c RaiseUMExceptionOnInvalidHandleClose : Pos 4, 1 Bit
+ 0x030 HandleContentionEvent : _EX_PUSH_LOCK
+ 0x038 HandleTableLock : _EX_PUSH_LOCK
+ 0x040 FreeLists : _HANDLE_TABLE_FREE_LIST
+ 0x040 ActualEntry : UChar
+ 0x060 DebugInfo : Ptr64 _HANDLE_TRACE_DEBUG_INFO

typedef struct _HANDLE_TABLE
{
ULONG32 NextHandleNeedingPool;
LONG32 ExtraInfoPages;
ULONG_PTR TableCode;
PEPROCESS QuotaProcess;
LIST_ENTRY HandleTableList;
ULONG32 UniqueProcessId;
union
{
ULONG32 Flags;
struct
{
BOOLEAN StrictFIFO : 1;
BOOLEAN EnableHandleExceptions : 1;
BOOLEAN Rundown : 1;
BOOLEAN Duplicated : 1;
BOOLEAN RaiseUMExceptionOnInvalidHandleClose : 1;
};
};
ULONG_PTR HandleContentionEvent;
ULONG_PTR HandleTableLock;
union
{
HANDLE_TABLE_FREE_LIST FreeLists;
BOOLEAN ActualEntry;
};
PVOID DebugInfo;
} HANDLE_TABLE, *PHANDLE_TABLE;
1: kd> dt nt!_HANDLE_TABLE_ENTRY
+ 0x000 VolatileLowValue : Int8B
+ 0x000 LowValue : Int8B
+ 0x000 InfoTable : Ptr64 _HANDLE_TABLE_ENTRY_INFO
+ 0x008 HighValue : Int8B
+ 0x008 NextFreeHandleEntry : Ptr64 _HANDLE_TABLE_ENTRY
+ 0x008 LeafHandleValue : _EXHANDLE
+ 0x000 RefCountField : Int8B
+ 0x000 Unlocked : Pos 0, 1 Bit
+ 0x000 RefCnt : Pos 1, 16 Bits
+ 0x000 Attributes : Pos 17, 3 Bits
+ 0x000 ObjectPointerBits : Pos 20, 44 Bits
+ 0x008 GrantedAccessBits : Pos 0, 25 Bits
+ 0x008 NoRightsUpgrade : Pos 25, 1 Bit
+ 0x008 Spare1 : Pos 26, 6 Bits
+ 0x00c Spare2 : Uint4B

typedef struct _HANDLE_TABLE_ENTRY
{
union
{
LONG_PTR VolatileLowValue;
LONG_PTR LowValue;
PVOID InfoTable;
LONG_PTR RefCountField;
struct
{
ULONG_PTR Unlocked : 1;
ULONG_PTR RefCnt : 16;
ULONG_PTR Attributes : 3;
ULONG_PTR ObjectPointerBits : 44;
};
};
union
{
LONG_PTR HighValue;
struct _HANDLE_TABLE_ENTRY *NextFreeHandleEntry;
EXHANDLE LeafHandleValue;
struct
{
ULONG32 GrantedAccessBits : 25;
ULONG32 NoRightsUpgrade : 1;
ULONG32 Spare1 : 6;
};
ULONG32 Spare2;
};
} HANDLE_TABLE_ENTRY, *PHANDLE_TABLE_ENTRY;
1: kd> dt nt!_HANDLE_TABLE_FREE_LIST
+ 0x000 FreeListLock : _EX_PUSH_LOCK
+ 0x008 FirstFreeHandleEntry : Ptr64 _HANDLE_TABLE_ENTRY
+ 0x010 LastFreeHandleEntry : Ptr64 _HANDLE_TABLE_ENTRY
+ 0x018 HandleCount : Int4B
+ 0x01c HighWaterMark : Uint4B
+ 0x020 Reserved : Uint4B

typedef struct _HANDLE_TABLE_FREE_LIST
{
ULONG_PTR FreeListLock;
PHANDLE_TABLE_ENTRY FirstFreeHandleEntry;
PHANDLE_TABLE_ENTRY lastFreeHandleEntry;
LONG32 HandleCount;
ULONG32 HighWaterMark;
ULONG32 Reserved;
} HANDLE_TABLE_FREE_LIST, *PHANDLE_TABLE_FREE_LIST;
只是一部分成员的偏移变化了，要注意的是表示对象地址的成员移到了 ObjectPointerBits 上，长度为 44 位的数据。
Win10上内核对象的地址算法：
Object = Entry->ObjectPointerBits;
Object <<= 4;
Object |= 0xFFFF000000000000;
Object += 0x30;
另外对象权限也变到了 GrantedAccessBits 成员中，长度为 25 位的数据。

关于 ExpLookupHandleTableEntry 的实现上，相较 Win7 的版本仅仅优化了下代码逻辑，可以说没有变化。
直接抄 WRK 的代码，建议多看几遍代码，配合网上的其他帖子理解一下句柄表结构，我就不废话了（懒）。

本来想写一大堆，但感觉都是废话删掉了，结果就变成这么一篇偷懒贴，干脆直接上核心代码吧：
NTSTATUS ViewHandle(ULONG32 ProcessId, POBJECT_INFO Buffer)
{
PEPROCESS EProcess = NULL;
ULONG_PTR Handle = 0;
PHANDLE_TABLE_ENTRY Entry = NULL;
PVOID Object = NULL;
POBJECT_TYPE ObjectType = NULL;

if (!NT_SUCCESS(PsLookupProcessByProcessId((HANDLE)ProcessId, &EProcess)))
{
return STATUS_UNSUCCESSFUL;
}

for (Handle = 0;; Handle += HANDLE_VALUE_INC)
{
Entry = ExpLookupHandleTableEntry(*(PHANDLE_TABLE*)((PUCHAR)EProcess + g_HandleTableOffset), *(PEXHANDLE)&Handle);
if (Entry == NULL)
{
break;
}

*(ULONG_PTR*)&Object = Entry->ObjectPointerBits;
*(ULONG_PTR*)&Object <<= 4;
if (Object == NULL)
{
continue;
}

*(ULONG_PTR*)&Object |= 0xFFFF000000000000;
*(ULONG_PTR*)&Object += 0x30;
ObjectType = ObGetObjectType(Object);
if (ObjectType == NULL)
{
continue;
}

wcscpy(Buffer->szTypeName, *(PCWSTR*)((PUCHAR)ObjectType + 0x18));
Buffer->Handle = (HANDLE)Handle;
Buffer->AccessMask = Entry->GrantedAccessBits;
Buffer->Address = Object;

Buffer++;
}

ObDereferenceObject(EProcess);

return STATUS_SUCCESS;
}
效果是这样的，对照WIN64AST：

这点破东西貌似不够看，再加个然并卵的玩意。

修改进程句柄权限过 Callback 保护：
if (wcscmp(*(PCWSTR*)((PUCHAR)ObjectType + 0x18), L"Process") == 0)
{
if (*(PULONG32)((PUCHAR)Object + 0x2E8) == PassiveId)
{
Entry->GrantedAccessBits = 0x1FFFFF;
Status = STATUS_SUCCESS;
}
}
拿 TP 举例，通常情况下，在 Ring3 调用 OpenProcess 传递 PROCESS_ALL_ACCESS 参数，该句柄对应的进程对象权限是 0x1FFFFF ，但对 TP 保护的游戏进行同样做法后会发现权限变成了 0x1FFD85，它的 Callback 中抹掉了进程对象的这些权限：
#define PROCESS_CREATE_THREAD (0x0002)
#define PROCESS_VM_OPERATION (0x0008)
#define PROCESS_VM_READ       (0x0010)
#define PROCESS_VM_WRITE       (0x0020)
#define PROCESS_DUP_HANDLE    (0x0040)
#define PROCESS_SET_INFORMATION(0x0200)
直接在 TP 的 Callback 中写 ret 游戏会封号，而且 TP 卸载时会蓝屏，内部通信肯定是有的，尝试过逆向，一堆 jmp 把我弄晕了，干脆就换种办法。

如上代码，我的做法是，遍历句柄表，判断对象类型为 "PROCESS" ，然后根据 EPROCESS 对象获得对应进程进程的 PID ，如果是被保护的进程就把权限写成 0x1FFFFF ，测试过 DXF 有效。

效果是这样的，恢复权限之前和之后分别为：

听说这是一种比较二逼的解决方法，没办法谁让我菜呢。如果有更好的办法还望不吝赐教。

最后奉上完整打包好的解决方案， VS2015 + WDK10 直接编译，附件包含：
HandleView User Ring3
HandleView Ring0
RestoreAccess Ring3
RestoreObjectAccess Ring0

溜了溜了{:soso__14291351291962500186_4:}

jyw0113 发表于 2016-7-5 10:02:36

不错，赞一个

lsj_pro 发表于 2016-7-5 16:40:12

看看看看看看看看看看

vivi992 发表于 2016-7-9 19:28:40

不错不错.我来看看

惊雷发表于 2016-7-18 16:33:54

shishikankan

wonderzdh 发表于 2016-7-19 11:02:09

不错，学到了个思路

绿林科技 发表于 2016-7-19 16:22:29

Good Job！

yhcyhy2010 发表于 2016-7-19 22:00:50

不错，赞一个

284406022 发表于 2016-7-20 08:59:30

本帖最后由 284406022 于 2016-7-20 09:01 编辑

只想问个问题:楼主是怎么双机调试win10的?我用VirtualKD-2.8,但是开启windbg后进入不了win10系统了,用了VirtualKD最新版本也是这样,目前只有VirtualKD双机调试win7 x64和win7 x86是成功的,win8.1也是不行,求个双机调试win10的方法

163xlt 发表于 2016-7-20 19:53:44

感谢分享我直接用xuetr恢复会被制裁

Tesla.Angela 发表于 2016-7-21 07:29:30

这个帖子我竟然没看到。。。真是不好意思，立马加精加币！

软绵绵 发表于 2016-7-21 08:43:13

不错，赞一个,感谢楼主分享。

lizhuowu 发表于 2016-7-21 10:00:54

看起很不错的，赞一个

zjr230506 发表于 2016-7-21 14:12:49

284406022 发表于 2016-7-20 08:59
只想问个问题:楼主是怎么双机调试win10的?我用VirtualKD-2.8,但是开启windbg后进入不了win10系统了,用了Vir ...

我没有用VirtrualKD，Guest直接添加的调试启动项，设置COM1虚拟串口，然后Windbg远程调试。

284406022 发表于 2016-7-22 08:17:31

zjr230506 发表于 2016-7-21 14:12
我没有用VirtrualKD，Guest直接添加的调试启动项，设置COM1虚拟串口，然后Windbg远程调试。 ...

Guset账户手动添加windbg远程调试启动项参数? admin帐号手动添加可以吗?

zjr230506 发表于 2016-7-22 09:14:25

284406022 发表于 2016-7-22 08:17
Guset账户手动添加windbg远程调试启动项参数? admin帐号手动添加可以吗?

这都哪跟哪啊...怎么还扯到账户了呢？
虚拟机用bcdedit命令添加一个启动项，开启调试，指定调试端口和波特率，然后给这个虚拟机添加一个命名管道，宿主机启动Windbg也指定同样的端口和波特率就可以了。
具体百度双机调试，Win10跟Win7一样的方法。

qq892640791 发表于 2016-7-23 20:13:29

貌似很厉害，虽然有一半没看太懂，这意思可以在ring3下反tp？
拿去研究研究，感觉这方法比vt好容易多了，反回调函数想想就激动

viphack 发表于 2016-7-29 03:32:19

支持一下。。。。。。。。。。。。。。。。

f74107 发表于 2016-7-29 09:39:06

不错，赞一个.

lfgameoffice 发表于 2016-7-30 15:28:59

厉害学习一哈

JerryAJ 发表于 2016-8-2 21:52:14

厉害，刚入门的我发现还不太懂，继续努力中

viphack 发表于 2016-8-4 20:32:15

2E8怎么来的

mafeng1989 发表于 2016-9-26 16:52:24

谢谢分享，好思路

hapi 发表于 2018-11-7 13:41:47

本帖最后由 hapi 于 2018-12-2 08:14 编辑

遍历的时候蓝屏了，TK中;My OS:16299

neticafe 发表于 2018-12-22 00:30:07

这个很牛.

qq840465900 发表于 2020-4-25 16:17:51

学习一下谢谢了

longjianfei 发表于 2020-5-1 18:32:26

学习了，谢谢

非典型男 发表于 2020-7-4 17:28:59

哇，楼主能在游戏开着的时候双机调试

bghta 发表于 2020-8-21 09:29:23

下载看看,感谢分享!

页: [1]

紫水晶编程技术论坛 - 努力打造成全国最好的编程论坛's Archiver

[原创]Win10遍历句柄表+修改权限过Callback保护