[原创开源]Win64上绕过Ring 3 Inline Hook

Tesla.Angela

忽然发现，Win64上针对NTDLL.DLL的Ring 3 Inline Hook基本上是无效的。。。
随便找个函数u一下：

lkd> u ntdll!ZwCreateUserProcess
ntdll!ZwCreateUserProcess:
00000000`77c90980 4c8bd1          mov     r10,rcx
00000000`77c90983 b8aa000000      mov     eax,0AAh
00000000`77c90988 0f05            syscall
00000000`77c9098a c3              ret

NTDLL.DLL里几乎所有Zw*函数（除了ZwQuerySystemTime）都是这个样子，唯一不同的地方就是index（染红处）。
所以可以使用“山寨法”。。。
把上述机器码复制到一个字节数组里，然后用VirtualProtect修改内存属性，最后直接把字节数组当作函数来调用即可。
例子（调用ZwTerminateProcess）：

1. 
   
2. typedef NTSTATUS (__fastcall *SCTERMINATEPROCESS)(HANDLE,NTSTATUS);
   
3. NTSTATUS MyTerminateProcess(HANDLE ProcessHandle, NTSTATUS ExitStatus)
   
4. {
   
5.         SCTERMINATEPROCESS ScTerminateProcess;
   
6.         UCHAR strShellCode[]="\x4c\x8b\xd1\xb8\x29\x00\x00\x00\x0f\x05\xc3";
   
7.         /*
   
8.         00000000`775a0110 4c8bd1          mov     r10,rcx
   
9.         00000000`775a0113 b829000000      mov     eax,29h
   
10.         00000000`775a0118 0f05            syscall
    
11.         00000000`775a011a c3              ret
    
12.         */
    
13.         DWORD xxx;
    
14.         strShellCode[11]=0x90;
    
15.         VirtualProtect(strShellCode,12,PAGE_EXECUTE_READWRITE,&xxx);
    
16.         PVOID p=strShellCode;
    
17.         ScTerminateProcess=(SCTERMINATEPROCESS)p;
    
18.         return ScTerminateProcess(ProcessHandle, ExitStatus);
    
19. }
    
20. 
    
21. int main()
    
22. {
    
23.         DWORD pid=0;
    
24.         printf("[KILL PROCESS] Input process id: ");
    
25.         scanf("%ld", &pid);
    
26.         HANDLE hProcess=OpenProcess(PROCESS_TERMINATE,0,pid);
    
27.         printf("status: 0x%x\n",MyTerminateProcess(hProcess,0));
    
28.         return 0;
    
29. }
    

复制代码

唯一不爽的是index可能需要硬编码，因为别人可能禁止你重载NTDLL.DLL，这样你就无法动态获得index了。
注：经KindOf提示，上面这句话作废！绕过Ring 3 Inline Hook可以完全不用硬编码！

另外，你是全局吗？不是的话，我跨进程读取另外一个进程的ntdll

见6楼。

KindOf

“因为别人可能禁止你重载NTDLL.DLL”？，不懂，WIN64下的程序不用加载这个dll也可以运行？

Tesla.Angela

KindOf 发表于 2011-8-15 10:43
“因为别人可能禁止你重载NTDLL.DLL”？，不懂，WIN64下的程序不用加载这个dll也可以运行？

“DLL重载”是我杜撰的术语。。。
意思就是复制某DLL并改名字然后重新LoadLibrary，以此绕过对此DLL的各种HOOK。

KindOf

Tesla.Angela 发表于 2011-8-15 11:13
“DLL重载”是我杜撰的术语。。。
意思就是复制某DLL并改名字然后重新LoadLibrary，以此绕过对此DLL的各 ...

那我CreateFile,ReadFile可以不？这样的话，直接先GetProcessAddr，转换成文件偏移，然后再从硬盘中读出来，那就是原始的了。

Tesla.Angela

KindOf 发表于 2011-8-15 13:22
那我CreateFile,ReadFile可以不？这样的话，直接先GetProcessAddr，转换成文件偏移，然后再从硬盘中读出来 ...

我直接Hook ZwReadFile，过滤一切对NTDLL.DLL这个文件的操作。。。
要知道ReadFile会调用到ZwReadFile。。。

KindOf

是createfile吧，否则的话可以改名。不过你上面也提了不给改名。

另外，你是全局吗？不是的话，我跨进程读取另外一个进程的ntdll

Tesla.Angela

KindOf 发表于 2011-8-15 16:16
是createfile吧，否则的话可以改名。不过你上面也提了不给改名。

另外，你是全局吗？不是的话，我跨进程 ...

你的思维不错！！！
我怎么就没有想到呢！！！
一般来说全局HOOK也不会HOOK到CSRSS之类的进程，所以绕过Ring 3 Inline Hook连硬编码都不需要了。。。

KindOf

。有分

PS：你刚刚提到的改名，我想的其实是copyfile一份。这个API没涉及到ntreadfile.不过其它的createfile之类肯定涉及到了。

Tesla.Angela

KindOf 发表于 2011-8-15 17:03
。有分

PS：你刚刚提到的改名，我想的其实是copyfile一份。这个API没涉及到ntreadfile.不过其它的cr ...

我的意思就是如此，hook住zwreadfile，让你无法复制文件。

woshewuaa

mark

testid

围观一下

x64asm

ZwUnMapViewSection
NTDLL
KERNEL32
USER32
...

kk1025

原來是這樣玩的