控制码hook简单模型

元始天尊

1. 
   
2. #include <Ntddk.h>
   
3. #include "DriverMonitor.h"
   
4. 
   
5. VOID __stdcall unload(PDRIVER_OBJECT)
   
6. {
   
7. 
   
8. }
   
9. 
   
10. ULONG GetModuleBase(PCHAR modulename);
    
11. 
    
12. extern "C"
    
13. {
    
14.         extern POBJECT_TYPE *IoDriverObjectType;
    
15.         extern POBJECT_TYPE *IoDeviceObjectType;
    
16.         NTSTATUS __stdcall NtQuerySystemInformation(SYSTEM_INFORMATION_CLASS,PVOID,ULONG,PULONG);
    
17.         NTSTATUS __stdcall ObReferenceObjectByName(PUNICODE_STRING,ULONG,PACCESS_STATE,ACCESS_MASK,POBJECT_TYPE,KPROCESSOR_MODE,PVOID,PVOID);
    
18. //        NTSTATUS __stdcall IoGetDeviceObjectPointer(PUNICODE_STRING ,ACCESS_MASK,PFILE_OBJECT,PDEVICE_OBJECT);
    
19.         NTSTATUS __stdcall ObOpenObjectByName(POBJECT_ATTRIBUTES,POBJECT_TYPE,KPROCESSOR_MODE,PACCESS_STATE,ACCESS_MASK,PVOID,PHANDLE);
    
20.         NTSTATUS __stdcall ObOpenObjectByPointer(PVOID,ULONG,PACCESS_STATE,ACCESS_MASK,POBJECT_TYPE,KPROCESSOR_MODE,PHANDLE);
    
21.         NTSTATUS __stdcall ObReferenceObjectByPointer(PVOID,ACCESS_MASK,POBJECT_TYPE,KPROCESSOR_MODE);
    
22. };
    
23. 
    
24. PWCHAR DriverName[]=
    
25. {
    
26.         L"\\Driver\\QMUDisk",
    
27.         L"\\Driver\\TAOAccelerator",
    
28.         L"\\Driver\\TAOKernelDriver",
    
29.         L"\\Driver\\TSDefenseBt",
    
30.         L"\\Driver\\TsFltMgr",
    
31.         L"\\Driver\\TSKSP",
    
32.         L"\\Driver\\TSSysKit",
    
33.         L"\\Driver\\Ts888",
    
34. };
    
35. 
    
36. const int num=sizeof(DriverName)/sizeof(DriverName[0]);
    
37. PDRIVER_OBJECT DriverObject[num]={0};
    
38. PDRIVER_DISPATCH OriginDispatch[num]={0};
    
39. BOOLEAN bitmap[num]={FALSE};
    
40. 
    
41. //打开驱动对象的方式： ObReferenceObjectByName ObOpenObjectByName
    
42. 
    
43. 
    
44. NTSTATUS __stdcall IoCtlDispatch(PDEVICE_OBJECT DeviceObject,PIRP Irp)
    
45. {
    
46.         PIO_STACK_LOCATION stack = IoGetCurrentIrpStackLocation(Irp);
    
47.         int index=-1;
    
48.         for(int i=0;i<num;i++)
    
49.         {
    
50.                 if(DriverObject[i] == DeviceObject->DriverObject)
    
51.                 {
    
52.                         index=i;
    
53.                         break;
    
54.                 }
    
55.         }
    
56.         if(stack->MajorFunction == IRP_MJ_DEVICE_CONTROL)
    
57.         {
    
58.                 ULONG iocode = stack->Parameters.DeviceIoControl.IoControlCode;
    
59.                 switch(iocode)
    
60.                 {
    
61.                         //不监视
    
62.                 case 0x222428:
    
63.                 case 0x222430:
    
64.                 case 0x222800:
    
65.                 case 0x222804:
    
66.                 case 0x224008:
    
67.                 case 0x22E004:
    
68.                 case 0x22E040:       
    
69.                 case 0x22E064:       
    
70.                 case 0x22E08C:       
    
71.                 case 0x22E0C4:
    
72.                 case 0x22E0C8:       
    
73.                 case 0x22E0CC:       
    
74.                 case 0x22E0D0:
    
75.                 case 0x22E100:       
    
76.                 case 0x22E104:       
    
77.                 case 0x22E420:       
    
78.                 case 0x22E424:       
    
79.                         break;
    
80.                         //监视且已知
    
81.                 case 0x221C00:
    
82.                 case 0x222004:
    
83.                 case 0x222008:
    
84.                 case 0x22200C:
    
85.                 case 0x222010:
    
86.                 case 0x222404:
    
87.                 case 0x222408:
    
88.                 case 0x22240C:
    
89.                 case 0x222410:
    
90.                 case 0x222414:
    
91.                 case 0x222418:
    
92.                 case 0x22241C:
    
93.                 case 0x222420:
    
94.                 case 0x222424:
    
95.                 case 0x22242C:
    
96.                 case 0x22400C:
    
97.                 case 0x224010:
    
98.                 case 0x224014:
    
99.                 case 0x224018:
    
100.                 case 0x22401C:
     
101.                 case 0x224020:
     
102.                 case 0x224024:
     
103.                 case 0x22402C:
     
104.                 case 0x22E01C:       
     
105.                 case 0x22E05C:
     
106.                 case 0x22E070:       
     
107.                 case 0x22E0D8:       
     
108.                 case 0x22E0E0:
     
109.                 case 0x22E0E4:        
     
110.                 case 0x22E404:
     
111.                         DbgPrint("%ws ioctlcode=0x%08x known\n",DriverName[index],iocode);
     
112.                         break;
     
113.                         //监视且未知
     
114.                 case 0x221C04:
     
115.                 case 0x221C08:
     
116.                 case 0x221C0C:
     
117.                 case 0x221C10:
     
118.                 case 0x221C14:
     
119.                 case 0x224028:
     
120.                 case 0x22E008:
     
121.                 case 0x22E010:
     
122.                 case 0x22E014:       
     
123.                 case 0x22E020:       
     
124.                 case 0x22E028:       
     
125.                 case 0x22E030:       
     
126.                 case 0x22E034:       
     
127.                 case 0x22E038:       
     
128.                 case 0x22E03C:       
     
129.                 case 0x22E044:
     
130.                 case 0x22E048:
     
131.                 case 0x22E04C:
     
132.                 case 0x22E050:       
     
133.                 case 0x22E054:       
     
134.                 case 0x22E058:       
     
135.                 case 0x22E06C:       
     
136.                 case 0x22E078:       
     
137.                 case 0x22E07C:       
     
138.                 case 0x22E080:       
     
139.                 case 0x22E084:       
     
140.                 case 0x22E0E8:
     
141.                 case 0x22E0EC:       
     
142.                 case 0x22E0F0:
     
143.                 case 0x22E108:       
     
144.                 case 0x22E10C:       
     
145.                 case 0x22E110:       
     
146.                 case 0x22E114:       
     
147.                 case 0x22E400:       
     
148.                 case 0x22E414:       
     
149.                 case 0x22E418:       
     
150.                 case 0x22E41C:       
     
151.                         DbgPrint("%ws ioctlcode=0x%08x unknown1\n",DriverName[index],iocode);
     
152.                         break;
     
153.                         //完全未知
     
154.                 default:
     
155.                         DbgPrint("%ws ioctlcode=0x%08x unknown2\n",DriverName[index],iocode);
     
156.                         break;
     
157.                 }
     
158.         }
     
159. 
     
160.         NTSTATUS status;
     
161.         if(index != -1 && OriginDispatch[index])
     
162.                 status=OriginDispatch[index](DeviceObject,Irp);
     
163.         return status;
     
164. }
     
165. 
     
166. BOOLEAN IsHooked(int index,PUCHAR FuncAddr)
     
167. {
     
168.         if(IoCtlDispatch==DriverObject[index]->MajorFunction[IRP_MJ_DEVICE_CONTROL])
     
169.                 return TRUE;
     
170.         return FALSE;
     
171. }
     
172. 
     
173. void Hook(int index,PDRIVER_DISPATCH* FuncAddr)
     
174. {
     
175.         InterlockedExchangePointer((PLONG)FuncAddr,IoCtlDispatch);
     
176. }
     
177. 
     
178. void __stdcall OnTimer(PDEVICE_OBJECT DeviceObject,PVOID Context)
     
179. {
     
180.         for(int i=0;i<num;i++)
     
181.         {
     
182.                 if(bitmap[i] && !IsHooked(i,(PUCHAR)DriverObject[i]->MajorFunction[IRP_MJ_DEVICE_CONTROL]))
     
183.                 {
     
184.                         DbgPrint("Hook is unhooked! rehook it\n");
     
185.                         Hook(i,&DriverObject[i]->MajorFunction[IRP_MJ_DEVICE_CONTROL]);
     
186.                 }
     
187.         }
     
188. }
     
189. 
     
190. extern "C"
     
191. {
     
192.         NTSTATUS __stdcall DriverEntry(PDRIVER_OBJECT pdr,PUNICODE_STRING pus)
     
193.         {
     
194.                 int ret=0;
     
195.                 pdr->DriverUnload=unload;
     
196.                 PDEVICE_OBJECT DevObj = NULL;
     
197.                 IoCreateDevice(pdr,0,NULL,0x22,0,0,&DevObj);
     
198.                 DbgPrint("Hook Everything\n");
     
199.                 __debugbreak();
     
200.                 for(int i=0;i<num;i++)
     
201.                 {
     
202.                         UNICODE_STRING uStr;
     
203.                         NTSTATUS status=0;
     
204.                         PFILE_OBJECT FileObject=NULL;
     
205.                         RtlInitUnicodeString(&uStr,DriverName[i]);
     
206.                
     
207.                         status = ObReferenceObjectByName(&uStr,OBJ_CASE_INSENSITIVE,NULL,0,*IoDriverObjectType,KernelMode,NULL,DriverObject+i);
     
208.                         if(NT_SUCCESS(status) && DriverObject[i])
     
209.                         {
     
210.                                 DbgPrint("%ws ioctl hooked\n",DriverName[i]);
     
211.                                 PDRIVER_DISPATCH* Addr=&DriverObject[i]->MajorFunction[IRP_MJ_DEVICE_CONTROL];
     
212.                                 OriginDispatch[i]=*Addr;
     
213.                                 InterlockedExchangePointer((PLONG)Addr,IoCtlDispatch);
     
214.                                 bitmap[i]=TRUE;
     
215.                         }
     
216.                 }
     
217. 
     
218.                 IoInitializeTimer(DevObj,OnTimer,NULL);
     
219.                 IoStartTimer(DevObj);
     
220.                 __debugbreak();
     
221.                 return STATUS_SUCCESS;
     
222.         }
     
223. };
     
224. 
     
225. 
     
226. ULONG GetModuleBase(PCHAR modulename)
     
227. {
     
228.         PVOID Buffer = NULL;
     
229.         ULONG ReturnLength = 0;
     
230.         NTSTATUS status;
     
231.         PRTL_PROCESS_MODULES modules = NULL;
     
232.         ULONG BaseAddr = NULL;
     
233.         NtQuerySystemInformation(SystemModuleInformation,&ReturnLength,0,&ReturnLength);
     
234.         if(ReturnLength)
     
235.                 Buffer = ExAllocatePool(PagedPool,ReturnLength);
     
236.         if(Buffer)
     
237.                 status = NtQuerySystemInformation(SystemModuleInformation,Buffer,ReturnLength,NULL);
     
238.         modules = (PRTL_PROCESS_MODULES)Buffer;
     
239.         if(NT_SUCCESS(status))
     
240.         {
     
241.                 for(int i=0;i<modules->NumberOfModules;i++)
     
242.                 {
     
243.                         int offset = modules->Modules[i].OffsetToFileName;
     
244.                         if(!_stricmp((const char*)(modules->Modules[i].FullPathName+offset),modulename))
     
245.                         {
     
246.                                 BaseAddr = (ULONG)modules->Modules[i].ImageBase;
     
247.                         }
     
248.                 }
     
249.         }
     
250.         if(Buffer)
     
251.                 ExFreePool(Buffer);
     
252.         return BaseAddr;
     
253. }
     
254. 
     
255. 
     
256. 
     
257. 
     

复制代码

FFFFFFFE

NICE

7KY6

可以可以!!