x64内核HOOK技术之拦截进程.拦截线程.拦截模块

NTSTATUS
  PsSetCreateProcessNotifyRoutineEx(
    IN PCREATE_PROCESS_NOTIFY_ROUTINE_EX  NotifyRoutine,　　　　//你提供的回调函数地址.
    IN BOOLEAN  Remove　　　　　　　　　　　　　　　　　　　　　　　　//是否删除回调. 如果为False则是注册回调,如果为TRUE则是删除回调.
    );

VOID
  CreateProcessNotifyEx(
    __inout PEPROCESS  Process,　　　　　　　　　　　　　　　　//进程的EPROCESS会提供给你.
    __in HANDLE  ProcessId,　　　　　　　　　　　　　　　　　　//进程ID会提供给你.
    __in_opt PPS_CREATE_NOTIFY_INFO  CreateInfo　　　　　　//进程信息的额外信息会提供给你. 注意参数是可操作的.也就是说可能为NULL
    );

typedef struct _PS_CREATE_NOTIFY_INFO {
  __in SIZE_T  Size;　　　　　　　　　　　　　　　　　　　　//大小.
  union {
    __in ULONG  Flags;
    struct {
      __in ULONG  FileOpenNameAvailable : 1;
      __in ULONG  Reserved : 31;
    };
  };
  __in HANDLE  ParentProcessId;　　　　　　　　　　　　//父进程ID
  __in CLIENT_ID  CreatingThreadId;　　　　　　
  __inout struct _FILE_OBJECT  *FileObject;　　　　 //文件对象
  __in PCUNICODE_STRING  ImageFileName;　　　　　　　//进程路径
  __in_opt PCUNICODE_STRING  CommandLine;　　　　　　//命令行参数
  __inout NTSTATUS  CreationStatus;　　　　　　　　　 //返回状态.
} PS_CREATE_NOTIFY_INFO, *PPS_CREATE_NOTIFY_INFO;

void InstallHook()
{　　
  NTSTATUS status;　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　//定义NT状态　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　
  status = PsSetCreateProcessNotifyRoutineEx(CreateProcessNotifyEx, FALSE);//注册回调
  if (NT_SUCCESS(status))　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　//判断状态是否成功.
    dprintf("[Hello] PsSetCreateProcessNotifyRoutineEx CreateProcessNotifyEx=%pOK\r\n", CreateProcessNotifyEx);
  else
    dprintf("[Hello] PsSetCreateProcessNotifyRoutineEx status=%d\r\n", status);
}

VOID CreateProcessNotifyEx( __inout PEPROCESS  Process,
                           __in HANDLE  ProcessId,
                           __in_opt PPS_CREATE_NOTIFY_INFO  CreateInfo)
{

  UNICODE_STRING ustrCalc;　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　//定义内核函数字符串
  RtlInitUnicodeString(&ustrCalc, L"\\??\\C:\\Windows\\system32\\calc.exe");//初始化计算器名字. 注意,这个要带上符号连接.　　
  if (CreateInfo != NULL) 　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　//参数有可能为NULL
  {
    dprintf("[Hello] Create Porcess pid=%d ImageFileName=%wZ\r\n", 
            ProcessId, 
            CreateInfo->ImageFileName);

    if (RtlCompareUnicodeString(CreateInfo->ImageFileName, &ustrCalc, TRUE) == 0) //比较字符串.如果成功
    {
      //阻止创建
      CreateInfo->CreationStatus = STATUS_UNSUCCESSFUL;                           //标志给失败,则计算器不能运行.
    }
  }
  else
    dprintf("[Hello] Exit Porcess pid=%d\r\n", ProcessId);
}

PsSetCreateProcessNotifyRoutineEx(CreateProcessNotifyEx, TRUE);        //卸载回调

NTSTATUS
  PsSetCreateThreadNotifyRoutine(
    IN PCREATE_THREAD_NOTIFY_ROUTINE  NotifyRoutine　　//回调函数地址.当线程创建完毕,但还没运行的时候会调用你的回调.
    );

NTSTATUS
  PsRemoveCreateThreadNotifyRoutine(
    IN PCREATE_THREAD_NOTIFY_ROUTINE  NotifyRoutine  //回调地址,你刚才注册的回调会取消.
    );

VOID
(*PCREATE_THREAD_NOTIFY_ROUTINE) (
    IN HANDLE  ProcessId,　　　　　　　　　　//进程ID
    IN HANDLE  ThreadId,　　　　　　　　　　 //线程ID
    IN BOOLEAN  Create　　　　　　　　　　　　
    );

void InstallHook()
{
  NTSTATUS status;
  status = PsSetCreateThreadNotifyRoutine(CreateThreadNotify);　　　　　　//注册线程回调
  if (NT_SUCCESS(status))
    dprintf("[Hello] PsSetCreateThreadNotifyRoutine CreateThreadNotify=%p\r\n", CreateProcessNotifyEx);
  else
    dprintf("[Hello] PsSetCreateThreadNotifyRoutine status=%d\r\n", status);
}

VOID CreateThreadNotify(
                                  IN HANDLE  ProcessId,
                                  IN HANDLE  ThreadId,
                                  IN BOOLEAN  Create)
{
  PEPROCESS Process = NULL;
  PETHREAD  Thread = NULL;
  UCHAR *pszImageName = NULL;
  NTSTATUS status;
  UCHAR *pWin32Address = NULL;

  status = PsLookupProcessByProcessId(ProcessId, &Process);　　//1.通过进程ID,获取EPROCESS
  if (!NT_SUCCESS(status))
    return;

  status = PsLookupThreadByThreadId(ThreadId, &Thread);　　　　//2.通过线程ID,获取ETHREAD

  pszImageName = PsGetProcessImageFileName(Process);　　　　　　//3.通过EPROCESS获取进程名


  if (Create) 
  {
    dprintf("[Hello] Create Thread pid=%d tid=%d ImageName=%s\r\n", ProcessId, ThreadId, pszImageName);
    if (strstr(pszImageName, "calc") != NULL)　　　　　　　　　　//4.判断进程名是否是计算器
    {
      //KdBreakPoint();

      //修改回调函数代码
      pWin32Address = *(UCHAR**)((UCHAR*)Thread + 0x410);　　 //5.是的话.找到回调函数地址.并改为C3
      //KeAttachProcess();
      if (MmIsAddressValid(pWin32Address))
      {
        KdBreakPoint();
        //*pWin32Address = 0xC3;　　　　　　　　　　　　　　　　　//修改为C3,但是注意,你修改的是否内存保护属性需要去掉.但是在64位下,不允许使用内联汇编了.不过你可以写二进制进行更改.或者汇编生成obj,驱动来使用
        　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　  //这里直接手动更改为C3.
      }
      //KeUnstackDetachProcess();
    }
  }
  else
    dprintf("[Hello] Exit Thread pid=%d tid=%d\r\n", ProcessId, ThreadId);


  if( Process )
    ObDereferenceObject (Process);　　　　　　　　　　　　　　//引用计数--
  if( Thread )
    ObDereferenceObject (Thread);

}

上面通过进程ID获取EPROCESS等等的API,都是微软未公开的.但是导出了. 我们只需要声明一下即可.但是既然是未公开那么就要看微软怎么使用.
微软使用之后,会对其引用计数--,所以我们也要这样做.

NTSTATUS
  PsSetLoadImageNotifyRoutine(
    IN PLOAD_IMAGE_NOTIFY_ROUTINE  NotifyRoutine
    );

VOID
(*PLOAD_IMAGE_NOTIFY_ROUTINE) (
    IN PUNICODE_STRING  FullImageName,
    IN HANDLE  ProcessId, // where image is mapped
    IN PIMAGE_INFO  ImageInfo
    );