遍历创建进程、创建线程、加载模块的回调函数

本是古典何须时尚 2022-08-18 14:26 182阅读 0赞

今天我们首先来看一下最简单的,关于遍历PspCreateProcessNotifyRoutine数组,PspLoadImageNotifyRoutine也同理  
  
这两个数组保存了两组函数地址,它们将在有进程被创建或销毁,有镜像被装载或映射入内存的时候被依次调用,  
当然了这两个符号都是未导出的,而且它们的数量在xp和win7下也有所不同,xp<2k3>下最大数组数量为8,win7下为64  
  
既然要找到两个未导出符号,我们就在已导出的相关函数中看一下有没有线索,  
相关函数:PsSetCreateProcessNotifyRoutine,注册或注销一个进程创建,销毁的通知回调  
相关函数:PsSetLoadImageNotifyRoutine,注册一个镜像装载,映射的通知回调  
相关函数:PsRemoveLoadImageNotifyRoutine,注销一个镜像装载,映射的通知回调  
相关函数:PsSetCreateThreadNotifyRoutine,注册一个线程创建,销毁的通知回调

相关函数:PsRemoveCreateThreadNotifyRoutine,注销一个线程创建,销毁的通知回调

<PS一下:不清楚为什么那么多文章说PsSetCreateProcessNotifyRoutine,或PsSetLoadImageNotifyRoutine注册的例程无法被删除,从而导致相关的驱动无法被卸载,云云..  
WDK中已经解释的很清楚了,而且我平时的使用中没出过任何异常,两个回调都可以通过正规函数删掉,当然手动遍历数组删除也没问题>  
  
另外值得一提的是PsSetLoadImageNotifyRoutine,  
该函数注册的回调例程会在镜像被装载或映射入内存之后马上被调用,  
注意它是先于DLLMAIN或者DRIVER\_ENTRY被调用的,联想到有的驱动会在被加载之后马上删除源文件,我们可以通过这种回调在驱动自动删掉文件本身之前将它copy出去,这种方式比内存dump这种马后炮的方式优雅可靠得多  
  
  
首先来看一下xp的PsSetCreateProcessNotifyRoutine <2k3下相仿>:  
![名称:  QQ截图20110920084237.jpg查看次数: 4704文件大小:  51.3 KB][QQ_20110920084237.jpg_ 4704_ 51.3 KB]  
  
  
  
可以看到在入口地址不远处就有PspCreateProcessNotifyRoutine的出现,我们可以很方便地通过搜索特征码的方式得到.  
  
在看一下win7下的PsSetCreateProcessNotifyRoutine:  
[![点击图片以查看大图图片名称:	QQ截图20110920085750.jpg查看次数:	4699文件大小:	61.6 KB文件 ID :	60740][QQ_20110920085750.jpg_4699_61.6 KB_ ID _60740]][QQ_20110920085750.jpg_4699_61.6 KB_ ID _60740_QQ_20110920085750.jpg_4699_61.6 KB_ ID _60740]  
  
  
  
它首先调用了PspSetCreateProcessNotifyRoutine函数,追踪一下:  
[![点击图片以查看大图图片名称:	QQ截图20110920085851.jpg查看次数:	4686文件大小:	60.0 KB文件 ID :	60739][QQ_20110920085851.jpg_4686_60.0 KB_ ID _60739]][QQ_20110920085851.jpg_4686_60.0 KB_ ID _60739_QQ_20110920085851.jpg_4686_60.0 KB_ ID _60739]  
PspCreateProcessNotifyRoutine在入口不远处出现  
  
  
这样,我们就得到了xp<2k3>和win7下的PspCreateProcessNotifyRoutine的地址,  
接下来就是遍历一下这个数组看一下每个回调例程都位于哪个模块中了,  
找到之后调用PsSetCreateProcessNotifyRoutine,第二个参数设置为TRUE就能摘掉回调例程了  
  
  
...什么?你遍历了数组但是没有发现目标模块中的回调?好吧,这其中貌似有些猫腻,我们来看一下:  
<图中选中的项是我自己的回调例程,当然地址是我已经计算好了的,PspCreateProcessNotifyRoutine数组中并不会出现此地址>  
[![点击图片以查看大图图片名称:	QQ截图20110920092143.jpg查看次数:	4699文件大小:	73.0 KB文件 ID :	60738][QQ_20110920092143.jpg_4699_73.0 KB_ ID _60738]][QQ_20110920092143.jpg_4699_73.0 KB_ ID _60738_QQ_20110920092143.jpg_4699_73.0 KB_ ID _60738]  
  
  
  
我们来看一下这个驱动文件在内核地址空间中的范围:  
<图中选中项是我自己的回调例程所在模块>  
![名称:  QQ截图20110920092357.jpg查看次数: 4644文件大小:  43.4 KB][QQ_20110920092357.jpg_ 4644_ 43.4 KB]  
  
可以计算一下该驱动文件的地址范围是 0x927F7000 至 0x927F7000+7000 <927FE000>  
  
接下来我们用livekd来看一下,直接找到PspCreateProcessNotifyRoutine:  
![名称:  QQ截图20110920092926.jpg查看次数: 4645文件大小:  34.7 KB][QQ_20110920092926.jpg_ 4645_ 34.7 KB]  
  
  
可以看到8个回调地址中没有 0x927F7000 - 927FE000 范围内的地址,直觉上最后一个应该是与我们自己注册的例程有关系的数据,那么我们看一下地址 0x9c79061f 中又有什么玄机:  
![名称:  QQ截图20110920093317.jpg查看次数: 4635文件大小:  46.9 KB][QQ_20110920093317.jpg_ 4635_ 46.9 KB]  
  
  
这..貌似没有什么有用的数据,那么我自己注册的例程地址保存到了哪里呢?于是我们自然想到翻看一下WRK,  
在WRK中找到PsSetCreateProcessNotifyRoutine,  
然后发现其中一处调用了ExAllocateCallBack,看名称应该是为回调分配内存,我们看一下:  
![名称:  QQ截图20110920094910.jpg查看次数: 4626文件大小:  75.9 KB][QQ_20110920094910.jpg_ 4626_ 75.9 KB]  
  
  
  
这里进行了内存分配,并且将传参Function,也就是我们注册回调时提供的例程地址,写入了一个结构中PEX\_CALLBACK\_ROUTINE\_BLOCK,看一下这个结构有什么成员:  
![名称:  QQ截图20110920095132.jpg查看次数: 4608文件大小:  33.8 KB][QQ_20110920095132.jpg_ 4608_ 33.8 KB]  
  
  
我们感兴趣的只有结构中的第二个成员Function.  
回想一下,既然系统为回调分配了内存,那么PspCreateProcessNotifyRoutine中保存的应该是每个结构的地址了,但是回过头我们再看一下 0x9c79061f 地址处的数据:  
![名称:  QQ截图20110920093317.jpg查看次数: 4635文件大小:  46.9 KB][QQ_20110920093317.jpg_ 4635_ 46.9 KB 1]  
  
  
这里还是没有我们要寻找的地址!  
而继续在PsSetCreateProcessNotifyRoutine中寻找线索也没有什么收获  
  
于是我们开始转换了思路,既然我们找不到这个回调的地址,那么系统是如何找到的呢?  
嗯,貌似这是一个新的突破口,可是我们不知道系统是在什么时候通过什么方式调用 PspCreateProcessNotifyRoutine 中的例程的啊!  
额,再想一下,系统要在某个函数中调用 PspCreateProcessNotifyRoutine 中的例程,那么应该会对 PspCreateProcessNotifyRoutine 进行引用的吧,我们在WRK中搜索 PspCreateProcessNotifyRoutine ,看一看都有哪里对其进行了引用:  
[![点击图片以查看大图图片名称:	QQ截图20110920100346.jpg查看次数:	4637文件大小:	169.4 KB文件 ID :	60732][QQ_20110920100346.jpg_4637_169.4 KB_ ID _60732]][QQ_20110920100346.jpg_4637_169.4 KB_ ID _60732_QQ_20110920100346.jpg_4637_169.4 KB_ ID _60732]  
  
  
于是我们找到了这里:  
[![点击图片以查看大图图片名称:	QQ截图20110920100541.jpg查看次数:	4590文件大小:	84.0 KB文件 ID :	60731][QQ_20110920100541.jpg_4590_84.0 KB_ ID _60731]][QQ_20110920100541.jpg_4590_84.0 KB_ ID _60731_QQ_20110920100541.jpg_4590_84.0 KB_ ID _60731]  
  
  
想想也对,因为PspCreateProcessNotifyRoutine是在进程创建,销毁都进行调用的  
跟踪一下 CallBack = ExReferenceCallBackBlock (&PspCreateProcessNotifyRoutine\[i\]); 这行代码,这里应该是取得回调结构的调用  
[![点击图片以查看大图图片名称:	QQ截图20110920101632.jpg查看次数:	4566文件大小:	118.1 KB文件 ID :	60730][QQ_20110920101632.jpg_4566_118.1 KB_ ID _60730]][QQ_20110920101632.jpg_4566_118.1 KB_ ID _60730_QQ_20110920101632.jpg_4566_118.1 KB_ ID _60730]  
  
  
仔细看看该函数的函数头,我们才发现原来 PspCreateProcessNotifyRoutine 中保存的是 PEX\_CALLBACK 结构:  
![名称:  QQ截图20110920101849.jpg查看次数: 4456文件大小:  15.6 KB][QQ_20110920101849.jpg_ 4456_ 15.6 KB]  
![名称:  QQ截图20110920101948.jpg查看次数: 4459文件大小:  21.0 KB][QQ_20110920101948.jpg_ 4459_ 21.0 KB]  
  
  
我们看这一行代码  
CallBackBlock = ExFastRefGetObject (CallBack->RoutineBlock);  
CallBackBlock 被定义为 PEX\_CALLBACK\_ROUTINE\_BLOCK 也就是 PsSetCreateProcessNotifyRoutine 分配的内存数据结构  
  
它的意思很明确,就是得到这个结构的地址,看一下ExFastRefGetObject:  
![名称:  QQ截图20110920102706.jpg查看次数: 4429文件大小:  45.7 KB][QQ_20110920102706.jpg_ 4429_ 45.7 KB]  
  
  
只是简单地和一个常量进行了与运算  
  
好了,我们理清思路:  
PspCreateProcessNotifyRoutine数组中保存的是 PEX\_CALLBACK 类型的结构地址数组;  
EX\_CALLBACK结构中只有一个成员,就是 RoutineBlock ,它是一个 EX\_FAST\_REF 结构;  
EX\_FAST\_REF是一个联合,我们这里简单地将之视为一个指针;  
省略掉中间步骤, PspCreateProcessNotifyRoutine 保存的就是指针数组;  
系统将数组中的指针传递给 ExFastRefGetObject,就得到了 PEX\_CALLBACK\_ROUTINE\_BLOCK 结构地址,这个结构中保存这我们想要的回调例程地址;  
ExFastRefGetObject 将传进来的指针进行了与运算得到了 PEX\_CALLBACK\_ROUTINE\_BLOCK 结构地址.  
  
好了,回想一下我们自己寻找回调地址的过程,我们没有进行最后的与运算而是直接将 PspCreateProcessNotifyRoutine 中的数据当成了结构的地址  
  
最后看一下那个神秘的常量:  
![名称:  QQ截图20110920103707.jpg查看次数: 4412文件大小:  17.5 KB][QQ_20110920103707.jpg_ 4412_ 17.5 KB]  
  
  
win32下被定义为7,先取反再与运算,也就是低3位清零  
  
我们回过头在用windbg看一下:  
![名称:  QQ截图20110920092926.jpg查看次数: 4645文件大小:  34.7 KB][QQ_20110920092926.jpg_ 4645_ 34.7 KB 1]  
  
对 0x9c79061f 进行运算得到了 0x9C790618, 看一下这里的数据:  
![名称:  QQ截图20110920104138.jpg查看次数: 4404文件大小:  40.0 KB][QQ_20110920104138.jpg_ 4404_ 40.0 KB]  
  
成功得到了注册的例程地址,我们在PT中验证一下:  
[![点击图片以查看大图图片名称:	QQ截图20110920104306.jpg查看次数:	4408文件大小:	232.8 KB文件 ID :	60724][QQ_20110920104306.jpg_4408_232.8 KB_ ID _60724]][QQ_20110920104306.jpg_4408_232.8 KB_ ID _60724_QQ_20110920104306.jpg_4408_232.8 KB_ ID _60724]  
  
  
如过想通过 PsSetCreateProcessNotifyRoutine 摘掉其他进程的回调,传参必须经过以上运算

当然了,如果你直接将PspCreateProcessNotifyRoutine数组暴力清空也行,不过既然有相对优雅的方式,何乐而不为呢?

\---------------------------------------------------------------------------------------------------------------------------

练习实例

看了上边的教程 以下是练习的过程 代码参考来源于WRK

windbg中创建进程的回调函数数组实例如下：  
3: kd> dd nt!PspCreateProcessNotifyRoutine  
83f789a0 8d808a3f 8fe950b7 8fea577f 8fe81daf  
83f789b0 8fe3bff7 9c08feb7 a9345397 00000000  
以 a9345397 为例  
  
  
1.在PsSetCreateProcessNotifyRoutine函数中有如下代码  
PEX\_CALLBACK\_ROUTINE\_BLOCK CallBack = ExReferenceCallBackBlock (&PspCreateProcessNotifyRoutine\[i\]); //这里传入的是 83f789b8  
通过代码知道 ExReferenceCallBackBlock将回调数组的值转换为 我们需要的 PEX\_CALLBACK\_ROUTINE\_BLOCK 结构 从而可以得到函数地址  
其中PEX\_CALLBACK\_ROUTINE\_BLOCK结构定义如下：  
typedef struct \_EX\_CALLBACK\_ROUTINE\_BLOCK \{  
EX\_RUNDOWN\_REF RundownProtect;  
PEX\_CALLBACK\_FUNCTION Function;  
PVOID Context;  
\} EX\_CALLBACK\_ROUTINE\_BLOCK, \*PEX\_CALLBACK\_ROUTINE\_BLOCK;  
其中Function成员就是我们要的函数地址  
  
2.  
再来看看ExReferenceCallBackBlock函数定义  
PEX\_CALLBACK\_ROUTINE\_BLOCK  
ExReferenceCallBackBlock (  
IN OUT PEX\_CALLBACK CallBack //CallBack是83f789b8  
)  
通过参数可以知道&PspCreateProcessNotifyRoutine\[i\]为 PEX\_CALLBACK 类型  
这样就知道了回调函数数组中的元素PspCreateProcessNotifyRoutine\[i\]为 EX\_CALLBACK 类型  
EX\_CALLBACK结构定义如下：  
typedef struct \_EX\_CALLBACK \{  
EX\_FAST\_REF RoutineBlock;  
\} EX\_CALLBACK, \*PEX\_CALLBACK;  
  
  
3.  
ExReferenceCallBackBlock函数中有以下代码：  
PEX\_CALLBACK\_ROUTINE\_BLOCK CallBackBlock = ExFastRefGetObject (CallBack->RoutineBlock); //CallBack->RoutineBlock的值是 a9345397  
可以看到通过ExFastRefGetObject得到了 我们想要的最终结果 PEX\_CALLBACK\_ROUTINE\_BLOCK 结构  
传入的参数是RoutineBlock成员 也就是EX\_FAST\_REF结构  
EX\_FAST\_REF结构定义如下：  
typedef struct \_EX\_FAST\_REF \{  
union \{  
PVOID Object;  
\#if defined (\_WIN64)  
ULONG\_PTR RefCnt : 4;  
\#else  
ULONG\_PTR RefCnt : 3;  
\#endif  
ULONG\_PTR Value;  
\};  
\} EX\_FAST\_REF, \*PEX\_FAST\_REF;  
  
  
4.再来看看ExFastRefGetObject函数中具体的转换过程  
NTKERNELAPI  
PVOID  
FORCEINLINE  
ExFastRefGetObject (  
\_\_in EX\_FAST\_REF FastRef  
)  
\{  
return (PVOID) (FastRef.Value & ~MAX\_FAST\_REFS); //FastRef.Value的值是 a9345397  
\}  
仅仅只有一句代码 简单的逻辑运算  
其中MAX\_FAST\_REFS定义是  
\#if defined (\_WIN64)  
\#define MAX\_FAST\_REFS 15  
\#else  
\#define MAX\_FAST\_REFS 7  
\#endif  
这里是WIN7 32位 所以MAX\_FAST\_REFS的值为7  
  
  
5.MAX\_FAST\_REFS为7 二进制是111 ~MAX\_FAST\_REFS二进制则是000 所以代码相当于 FastRef.Value & 000 把FastRef.Value二进制的最后三位置为0  
a9345397 & ~7 = A9345390 这里的结果是一个PEX\_CALLBACK\_ROUTINE\_BLOCK结构 是我们一直想要的 然后看看他的第二个成员 Function  
windbg运行结果如下：  
3: kd> dd A9345390  
a9345390 00000010 9cd63f40 00000000 000ca0e8  
可以看到是 9cd63f40 和 工具里边的值对比是一样的 由此得到了真正的函数地址  
  
  
6.总结一下 过程感觉很漫长 其实就2步 要想得到PspCreateProcessNotifyRoutine 回调数组的某个函数地址  
实例：  
3: kd> dd nt!PspCreateProcessNotifyRoutine  
83f789a0 8d808a3f 8fe950b7 8fea577f 8fe81daf  
83f789b0 8fe3bff7 9c08feb7 a9345397 00000000  
比如这里的 9c08feb7 或 8fe3bff7 或 8fe81daf 等等。。这里用XXX来代替  
  
第一步：YYY=XXX & ~7  
第二步: \*((PULONG)YYY+1) 就是函数地址了  
当然这里是伪代码 而且是32位系统

[QQ_20110920084237.jpg_ 4704_ 51.3 KB]: /images/20220731/b8e1252cd4f24ae4831b66833527a943.png
[QQ_20110920085750.jpg_4699_61.6 KB_ ID _60740]: https://img-blog.csdn.net/20131029132034828?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvd2hhdGRheQ==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast
[QQ_20110920085750.jpg_4699_61.6 KB_ ID _60740_QQ_20110920085750.jpg_4699_61.6 KB_ ID _60740]: /images/20220731/3965220e12a94a42a02936b9dc2c8b39.png
[QQ_20110920085851.jpg_4686_60.0 KB_ ID _60739]: https://img-blog.csdn.net/20131029132042875?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvd2hhdGRheQ==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast
[QQ_20110920085851.jpg_4686_60.0 KB_ ID _60739_QQ_20110920085851.jpg_4686_60.0 KB_ ID _60739]: /images/20220731/7900bf72425a4ae89d27ce092a2635f4.png
[QQ_20110920092143.jpg_4699_73.0 KB_ ID _60738]: https://img-blog.csdn.net/20131029132053437?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvd2hhdGRheQ==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast
[QQ_20110920092143.jpg_4699_73.0 KB_ ID _60738_QQ_20110920092143.jpg_4699_73.0 KB_ ID _60738]: /images/20220731/a1286a06a1d54757b0c9caf33f61c969.png
[QQ_20110920092357.jpg_ 4644_ 43.4 KB]: /images/20220731/22d3c6b0cc67416fac83f908829149e8.png
[QQ_20110920092926.jpg_ 4645_ 34.7 KB]: /images/20220731/41ea482562754e03b1d24094eec836b9.png
[QQ_20110920093317.jpg_ 4635_ 46.9 KB]: /images/20220731/65a88efc4edf4e1d82b8854a5acfc8f5.png
[QQ_20110920094910.jpg_ 4626_ 75.9 KB]: /images/20220731/22389a55df1a4d23bff3613160df2654.png
[QQ_20110920095132.jpg_ 4608_ 33.8 KB]: /images/20220731/8c72e0cb04214908a8e672762c68c2fe.png
[QQ_20110920093317.jpg_ 4635_ 46.9 KB 1]: /images/20220731/8c76d3fdce3347febf0a0e4101509fbb.png
[QQ_20110920100346.jpg_4637_169.4 KB_ ID _60732]: https://img-blog.csdn.net/20131029132151984?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvd2hhdGRheQ==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast
[QQ_20110920100346.jpg_4637_169.4 KB_ ID _60732_QQ_20110920100346.jpg_4637_169.4 KB_ ID _60732]: /images/20220731/9d4237d5f6d4453989bb3ed466336ab6.png
[QQ_20110920100541.jpg_4590_84.0 KB_ ID _60731]: https://img-blog.csdn.net/20131029132159968?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvd2hhdGRheQ==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast
[QQ_20110920100541.jpg_4590_84.0 KB_ ID _60731_QQ_20110920100541.jpg_4590_84.0 KB_ ID _60731]: /images/20220731/92ab676a2f414df9992aefe03a98d7c3.png
[QQ_20110920101632.jpg_4566_118.1 KB_ ID _60730]: https://img-blog.csdn.net/20131029132209187?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvd2hhdGRheQ==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast
[QQ_20110920101632.jpg_4566_118.1 KB_ ID _60730_QQ_20110920101632.jpg_4566_118.1 KB_ ID _60730]: /images/20220731/c1a3763b26524f518577bafa820e2073.png
[QQ_20110920101849.jpg_ 4456_ 15.6 KB]: /images/20220731/3908c459f077457ab114f3d9c46ca4af.png
[QQ_20110920101948.jpg_ 4459_ 21.0 KB]: /images/20220731/06ab53991279446e84bec82b486da5c2.png
[QQ_20110920102706.jpg_ 4429_ 45.7 KB]: /images/20220731/5f359bd4432e445db7c683a523bd730b.png
[QQ_20110920103707.jpg_ 4412_ 17.5 KB]: /images/20220731/5b7433e5113448d3a885b99661ee8971.png
[QQ_20110920092926.jpg_ 4645_ 34.7 KB 1]: /images/20220731/12f7170234c24b41b66dc85e0eb27e78.png
[QQ_20110920104138.jpg_ 4404_ 40.0 KB]: /images/20220731/8e09f368f3184aae859e71dc5fdd9693.png
[QQ_20110920104306.jpg_4408_232.8 KB_ ID _60724]: https://img-blog.csdn.net/20131029132318968?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvd2hhdGRheQ==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast
[QQ_20110920104306.jpg_4408_232.8 KB_ ID _60724_QQ_20110920104306.jpg_4408_232.8 KB_ ID _60724]: /images/20220731/336f2c05f6ea48dc82ce9ebed34fd01f.png