[原创]Ring 3文件保护[X64ASM/VB/VC]

Tesla.Angela

1. 
   
2. IncludeLib User32.Lib
   
3. IncludeLib Kernel32.Lib
   
4. EXTERN LoadLibraryA:PROC
   
5. EXTERN GetProcAddress:PROC
   
6. EXTERN ExitProcess:PROC
   
7. EXTERN CreateFileA:PROC
   
8. EXTERN OpenProcess:PROC
   
9. EXTERN MessageBoxA:PROC
   
10. EXTERN GetCurrentProcess:PROC
    
11. EXTERN CloseHandle:PROC
    
12. EXTERN SetHandleInformation:PROC
    
13. 
    
14. .DATA?
    
15.         hMod        qword 0
    
16.         pApi1        qword 0
    
17.         pApi2        qword 0
    
18.         bRet        qword 0
    
19.         hsFile        qword 0
    
20.         htFile        qword 0
    
21.         hProc        qword 0
    
22.         hMyProc qword 0
    
23.         iii                qword 0
    
24.        
    
25. .DATA
    
26.         szTit        BYTE  "c:\TryToDel2.txt",0
    
27.         szDll        BYTE  "ntdll.dll",0
    
28.         szFun1        BYTE  "RtlAdjustPrivilege",0
    
29.         szFun2        BYTE  "NtDuplicateObject",0
    
30.         szStr1        BYTE  "Tips",0
    
31.         szStr2        BYTE  "OK!!",0
    
32.        
    
33. .CODE
    
34.         Entry PROC
    
35.                 ;hMod=LoadLibraryA("ntdll.dll")
    
36.                 sub rsp,16
    
37.                 lea rcx,szDll
    
38.                 call LoadLibraryA
    
39.                 mov hMod,rax
    
40.                 add rsp,16
    
41.                 ;pApi1=GetProcAddress(hMod,"RtlAdjustPrivilege")
    
42.                 sub rsp,24
    
43.                 mov rcx,hMod
    
44.                 lea rdx,szFun1
    
45.                 call GetProcAddress
    
46.                 mov pApi1,rax
    
47.                 add rsp,24
    
48.                 ;pApi2=GetProcAddress(hMod,"NtDuplicateObject")
    
49.                 sub rsp,24
    
50.                 mov rcx,hMod
    
51.                 lea rdx,szFun2
    
52.                 call GetProcAddress
    
53.                 mov pApi2,rax
    
54.                 add rsp,24
    
55.                 ;RtlAdjustPrivilege(20,1,0,&bRet);
    
56.                 sub rsp,40
    
57.                 mov rcx,20
    
58.                 mov rdx,1
    
59.                 mov r8,0
    
60.                 lea r9,bRet
    
61.                 call pApi1
    
62.                 add rsp,40
    
63.                 ;hMyProc=GetCurrentProcess()
    
64.                 sub rsp,8
    
65.                 call GetCurrentProcess
    
66.                 mov hMyProc,rax
    
67.                 add rsp,8
    
68.                 ;hsFile=CreateFileA(pFile, 0x80000000, 0, 0, 3, 0, 0)
    
69.                 sub rsp,64
    
70.                 xor rax,rax
    
71.                 mov [rsp+48],rax                 
    
72.                 mov [rsp+40],rax               
    
73.                 mov rax,3
    
74.                 mov [rsp+32],rax                 
    
75.                 xor r9,r9                         
    
76.                 xor r8,r8                         
    
77.                 mov rdx,80000000h                 
    
78.                 lea rcx,szTit                         
    
79.                 call CreateFileA
    
80.                 mov hsFile,rax
    
81.                 add rsp,64
    
82.                 ;SetHandleInformation(hsFile,0,2)
    
83.                 sub rsp,32
    
84.                 mov rcx,hsFile
    
85.                 mov rdx,0
    
86.                 mov r8,2
    
87.                 call SetHandleInformation
    
88.                 add rsp,32
    
89.                 ;for(i=100;i<19996;i+=4) [copy file handle to other process]
    
90.                 mov iii,100 ;start pid
    
91.         addto19996:
    
92.                         ;OpenProcess(0x1F0FFF, 0, iii);
    
93.                         sub rsp,32
    
94.                         mov rcx,1F0FFFh
    
95.                         mov rdx,0
    
96.                         mov r8,iii
    
97.                         call OpenProcess
    
98.                         mov hProc,rax
    
99.                         add rsp,32
    
100.                         ;if (rax==0) goto [loopnext]
     
101.                         cmp rax,0
     
102.                         je loopnext
     
103.                         ;NtDuplicateObject((HANDLE)-1, hsFile, hProcess, &htFile, 0, 0, 4);
     
104.                         sub rsp,64
     
105.                         mov rax,4
     
106.                         mov [rsp+48],rax                 
     
107.                         xor rax,rax
     
108.                         mov [rsp+40],rax               
     
109.                         mov [rsp+32],rax                 
     
110.                         lea r9,htFile                         
     
111.                         mov r8,hProc                         
     
112.                         mov rdx,hsFile                         
     
113.                         mov rcx,hMyProc                       
     
114.                         call pApi2
     
115.                         add rsp,64
     
116.                         ;CloseHandle(hProc)
     
117.                         sub rsp,16
     
118.                         mov rcx,hProc
     
119.                         call CloseHandle
     
120.                         add rsp,16
     
121.         loopnext:
     
122.                 mov rbx,iii       
     
123.                 add rbx,4       
     
124.                 mov iii,rbx               
     
125.                 ;if (rbx<>19996) goto [addto19996]
     
126.                 cmp rbx,19996 ;end pid
     
127.                 jb addto19996
     
128.                 ;MessageBoxA(0,"OK!!","TIPS",0)
     
129.                 sub rsp,40
     
130.                 mov rcx,0
     
131.                 lea rdx,szStr2
     
132.                 lea r8,szStr1
     
133.                 mov r9,0
     
134.                 call MessageBoxA
     
135.                 add rsp,40
     
136.                 ;ExitProcess(0)
     
137.                 sub rsp,8
     
138.                 mov rcx,0
     
139.                 call ExitProcess
     
140.                 add rsp,8
     
141.                 ret
     
142.         Entry ENDP
     
143. END
     

复制代码

Tesla.Angela

VB2010（要编译成64位程序）：

1. 
   
2. Module Module1
   
3. 
   
4.     Private Declare Function EnumProcesses Lib "psapi" (ByRef lpidProcess As Long, ByVal cb As Long, ByRef cbNeeded As Long) As Long
   
5.     Private Declare Function RtlAdjustPrivilege Lib "ntdll" (ByVal Privilege As Long, ByVal NewValue As Long, ByVal NewThread As Long, ByRef OldValue As Long) As Long
   
6.     Private Declare Function NtClose Lib "ntdll" (ByVal ObjectHandle As Long) As Long
   
7.     Private Declare Function NtDuplicateObject Lib "ntdll" (ByVal SourceProcessHandle As Long, ByVal SourceHandle As Long, ByVal TargetProcessHandle As Long, ByRef TargetHandle As Long, ByVal DesiredAccess As Long, ByVal HandleAttributes As Long, ByVal Options As Long) As Long
   
8.     Private Declare Function CreateFileA Lib "kernel32" (ByVal lpFileName As String, ByVal dwDesiredAccess As Long, ByVal dwShareMode As Long, ByVal lpSecurityAttributes As Long, ByVal dwCreationDisposition As Long, ByVal dwFlagsAndAttributes As Long, ByVal hTemplateFile As Long) As Long
   
9.     Private Declare Function OpenProcess Lib "kernel32" (ByVal p1 As Long, ByVal p2 As Long, ByVal p3 As Long) As Long
   
10.     Private Declare Function SetHandleInformation Lib "kernel32.dll" (ByVal hObject As Long, ByVal dwMask As Long, ByVal dwFlags As Long) As Long
    
11.     Private Declare Function CreateHardLinkA Lib "kernel32.dll" (ByVal lpFileName As String, ByVal lpExistingFileName As String, ByVal lpSecurityAttributes As Long) As Long
    
12. 
    
13.     Public Function GetProcesses() As Long()
    
14.         Dim lngCbNeeded As Long, lngProcArr() As Long
    
15.         ReDim lngProcArr(1024)
    
16.         EnumProcesses(lngProcArr(0), 4 * 1024, lngCbNeeded)
    
17.         ReDim Preserve lngProcArr(lngCbNeeded / 4 - 1)
    
18.         GetProcesses = lngProcArr
    
19.     End Function
    
20. 
    
21.     Sub Main()
    
22.         Dim pFile As String, hsFile As Long, hProcess As Long, htFile As Long, lProcess() As Long, fProcess As Long
    
23.         RtlAdjustPrivilege(20, 1, 0, 0)
    
24.         pFile = InputBox("Input File Name:", "Protect File", "c:\TryToDel3.txt")
    
25.         hsFile = CreateFileA(pFile, &H80000000, 0, 0, 3, 0, 0)
    
26.         SetHandleInformation(hsFile, 0, 2)
    
27.         lProcess = GetProcesses()
    
28.         For fProcess = 0 To UBound(lProcess)
    
29.             hProcess = OpenProcess(&H1F0FFF, 0, lProcess(fProcess))
    
30.             If hProcess <> 0 Then
    
31.                 NtDuplicateObject(-1, hsFile, hProcess, htFile, 0, 0, 4)
    
32.                 NtClose(hProcess)
    
33.             End If
    
34.         Next
    
35.         MsgBox("OK")
    
36.     End Sub
    
37. 
    
38. End Module
    
39. 
    

复制代码

Tesla.Angela

C++：

1. 
   
2. #include <stdio.h>
   
3. #include <Windows.h>
   
4. 
   
5. typedef long (*RTLADJUSTPRIVILEGE)(ULONG,BOOLEAN,BOOLEAN,PBOOLEAN);
   
6. typedef long (*NTDUPLICATEOBJECT)(HANDLE,HANDLE,HANDLE,PHANDLE,ACCESS_MASK,BOOLEAN,ULONG);
   
7. 
   
8. void GetAllProcessA(int pids[],int *procount)
   
9. {
   
10.         int i=0,c=0;
    
11.         HANDLE hProcess=0;
    
12.         for(i=8;i<19996;i+=4)
    
13.         {
    
14.                 hProcess=OpenProcess(0x10,0,i);
    
15.                 if (hProcess!=0)
    
16.                 {
    
17.                         pids[c]=i;
    
18.                         CloseHandle(hProcess);
    
19.                         c++;
    
20.                 }
    
21.         }
    
22.         *procount=c;
    
23. }
    
24. 
    
25. int main()
    
26. {
    
27.         BOOLEAN bRet;
    
28.         int pids[260];
    
29.         int procsnum=0;
    
30.         char pFile[260];
    
31.         RTLADJUSTPRIVILEGE getdbg=(RTLADJUSTPRIVILEGE)GetProcAddress(GetModuleHandleW(L"ntdll.dll"),"RtlAdjustPrivilege");
    
32.         NTDUPLICATEOBJECT NtDuplicateObject=(NTDUPLICATEOBJECT)GetProcAddress(GetModuleHandleW(L"ntdll.dll"),"NtDuplicateObject");
    
33.         getdbg(20,1,0,&bRet);
    
34.         memset(pids,0,4*260);
    
35.         memset(pFile,0,260);
    
36.         printf("Input the file name you want to protect: ");
    
37.         scanf("%s",pFile);
    
38.         HANDLE hsFile = CreateFileA(pFile, 0x80000000, 0, 0, 3, 0, 0);
    
39.         SetHandleInformation(hsFile,0,2);
    
40.         GetAllProcessA(pids,&procsnum);
    
41.         for(int i=0;i<procsnum;i++)
    
42.         {
    
43.                 HANDLE htFile=0;
    
44.                 HANDLE hProcess = OpenProcess(0x1F0FFF, 0, pids[i]);
    
45.                 if (hProcess!=0)
    
46.                 {
    
47.                         NtDuplicateObject((HANDLE)-1, hsFile, hProcess, &htFile, 0, 0, 4);
    
48.                         CloseHandle(hProcess);
    
49.                 }
    
50.         }
    
51.         getchar();
    
52.         printf("OK!\n");
    
53.         getchar();
    
54.         return 0;
    
55. }
    

复制代码

nbboy

支持一个，，，能用x64写。的却很牛叉！

Tesla.Angela

回复 nbboy 的帖子

小伎俩而已。

testid

顶一下

gfw

好吧支持个

kk1025

Tesla.Angela 发表于 2011-1-5 00:16
C++：

支持一下

upring

不愧坛主 功底深厚