tssk分析

元始天尊

Tssk.sys分析报告
        该驱动主要用于防止各类已知rootkit驱动的攻击，有很多恢复系统函数的操作，具体过程不详细介绍，看idb即可。
目录
Tssk.sys分析报告        1
一、        基础库        2


一、        基础库


1.1 由符号链接名获取设备名

1. 
   
2. BOOLEAN GetDeviceNameBySymbolicName(PUNICODE_STRING SymbolicName,PUNICODE_STRING DeviceName)
   
3. {
   
4.         OBJECT_ATTRIBUTES ObjectAttributes;
   
5.         UNICODE_STRING LinkTarget = {0};
   
6.         HANDLE LinkHandle = NULL;
   
7.         NTSTATUS Status;
   
8.         ULONG ReturnedLength = 0;
   
9.         BOOLEAN Ret = FALSE;
   
10.         if(!SymbolicName || !DeviceName)
    
11.                 return FALSE;
    
12.         InitializeObjectAttributes(&ObjectAttributes,SymbolicName,OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE,NULL,NULL);
    
13.         ZwOpenSymbolicLinkObject(&LinkHandle,GENERIC_READ,&ObjectAttributes);
    
14.         if(LinkHandle)
    
15.         {
    
16.                 if(ZwQuerySymbolicLinkObject(LinkHandle, &LinkTarget, &ReturnedLength) == STATUS_BUFFER_TOO_SMALL)
    
17.                 {
    
18.                         if(ReturnedLength)
    
19.                         {
    
20.                                 ReturnedLength += 2;
    
21.                                 LinkTarget.Buffer = (PWCH)ExAllocatePool(NonPagedPool,ReturnedLength);
    
22.                                 if(LinkTarget.Buffer)
    
23.                                 {
    
24.                                         RtlZeroMemory(LinkTarget.Buffer,ReturnedLength);
    
25.                                         LinkTarget.Length = 0;
    
26.                                         LinkTarget.MaximumLength = ReturnedLength;
    
27.                                         if(ZwQuerySymbolicLinkObject(LinkHandle, &LinkTarget, &ReturnedLength) == STATUS_SUCCESS)
    
28.                                                 Ret = TRUE;
    
29.                                 }
    
30.                         }
    
31.                 }
    
32.                 if(LinkHandle)
    
33.                 {
    
34.                         ZwClose(LinkHandle);
    
35.                         LinkHandle = NULL;
    
36.                 }
    
37.                 if(Ret)
    
38.                         *DeviceName = LinkTarget;
    
39.         }
    
40.         if(LinkTarget.Buffer)
    
41.                 ExFreePool(LinkTarget.Buffer);
    
42. }
    

复制代码

1.2 遍历所有硬盘分区

1. 
   
2. BOOLEAN GetHarddiskPartitioNumber(PDEVICE_OBJECT DeviceObject, PULONG OutPartitionNum)
   
3. {
   
4.         KEVENT Event;
   
5.         IO_STATUS_BLOCK Ios;
   
6.         NTSTATUS Status;
   
7.         BOOLEAN Ret = FALSE;
   
8.         if(!DeviceObject || !OutPartitionNum)
   
9.                 return FALSE;
   
10.         KeInitializeEvent(&Event);
    
11.         PVOID Buf = ExAllocatePool(NonPagedPool,0x2000);
    
12.         RtlZeroMemory(&Buf,0x2000);
    
13.         PIRP Irp = IoBuildDeviceIoControlRequest(0x70050,DeviceObject,NULL,0,Buf,0x2000,FALSE,&Event,&Ios);
    
14.         if(Irp)
    
15.         {
    
16.                 Status = IoCallDriver(DeviceObject,Irp);
    
17.                 if(Status == STATUS_PENDING)
    
18.                 {
    
19.                         KeWaitForSingleObject(&Event,Suspended,KernelMode,FALSE,NULL);
    
20.                         Status = Ios.Status;
    
21.                 }
    
22.                 if(NT_SUCCESS(Status))
    
23.                 {
    
24.                         *OutPartitionNum = *((ULONG*)Buf+1);
    
25.                         Ret = TRUE;
    
26.                 }
    
27.         }
    
28.         if(Buf)
    
29.                 ExFreePool(Buf);
    
30.         return Ret;
    
31. }
    
32. 
    
33. void EnumPartition()
    
34. {
    
35.         if(KeGetCurrentIrql() != PASSIVE_LEVEL)
    
36.                 return;
    
37.         PCONFIGURATION_INFORMATION config = IoGetConfigurationInformation();
    
38.         for(int DiskIndex=0;DiskIndex < config->DiskCount;DiskIndex++)
    
39.         {
    
40.                 WCHAR Disk[260];
    
41.                 UNICODE_STRING UDisk;
    
42.                 PFILE_OBJECT FileObj = NULL;
    
43.                 PDEVICE_OBJECT DevObj = NULL;
    
44.                 vsnwprintfW(Disk,260,"\\Device\\Harddisk%d\\Partition0",DiskIndex);
    
45.                 RtlInitUnicodeString(&UDisk,Disk);
    
46.                 if(NT_SUCCESS(IoGetDeviceObjectPointer(&UDisk,FILE_READ_ATTRIBUTES,&FileObj,&DevObj))
    
47.                 {
    
48.                         if(MmIsAddressValid(FileObj->DeviceObject) && MmIsAddressValid(FileObj->DeviceObject->DriverObject))
    
49.                         {
    
50.                                 ULONG PartitionNumber;
    
51.                                 if(GetHarddiskPartitionNumber(DevObj,&PartitionNumber))
    
52.                                 {
    
53.                                         for(int PartitionIndex=0;PartitionIndex < PartitionNumber;PartitionIndex++)
    
54.                                         {
    
55.                                                 WCHAR Partition[260];
    
56.                                                 UNICODE_STRING UPartition;
    
57.                                                 PFILE_OBJECT FileObjx = NULL;
    
58.                                                 PDEVICE_OBJECT DevObjx = NULL;
    
59.                                                 vsnwprintfW(Partition,260,"\\Device\\Harddisk%d\\Partition%d",DiskIndex,PartitionIndex);
    
60.                                                 RtlInitUnicodeString(&UPartition,Partition);
    
61.                                                 if(NT_SUCCESS(IoGetDeviceObjectPointer(&UPartition,FILE_READ_ATTRIBUTES,&FileObjx,&DevObjx))
    
62.                                                 {
    
63.                                                         if(MmIsAddressValid(FileObjx->DeviceObject) && MmIsAddressValid(FileObjx->DeviceObject->DriverObject))
    
64.                                                         {
    
65.                                                                
    
66.                                                         }
    
67.                                                 }
    
68.                                         }
    
69.                                 }
    
70.                         }
    
71.                 }
    
72.         }
    
73. }
    

复制代码

1.3 由进程对象获取文件对象
Xp之前：
        由PsGetProcessSectionBaseAddress得到SectionBaseAddress在EPROCESS中的偏移，前4字节为SectionObject偏移
        由PEPROCESS得到_SECTION.ControlArea.FilePointer
Xp之后：
        PsReferenceProcessFilePointer得到



tssk.rar (319.4 KB, 下载次数: 3)

2015-10-23 16:05 上传

点击文件名下载附件

7KY6

可以可以!!