// ***************************************************************
//  Author:  Sysnap     
//  Link:    http://hi.baidu.com/sysnap
//  
// ***************************************************************


   
   好久沒弄hook了.最近看到還是很多人弄,而且藍屏,就把我以前的inline hook的code改下,於是有此文,呵呵,給跟我一樣的菜鳥科普用的,高手飄過
   現在一般工具的程序保護可能是hook NtOpenProcess和NtTerminateProcess...其實關於程序的話題很多,印象中Sudami同學對這方面面比較懂.下面的程式碼可以保護程序
   WsysCheck--->>>failed
   IceSword---->>>failed
   Gmer-->>>failed
   RUK--->>>failed
   SnipeSword---->>>failde(不包括記憶體清0)
   其實這只是簡單的程序保護,唯一的好處就是hook匯出函式ObReferenceObjectByHandle,穩定...而結束之的方法也有很多,比如記憶體清0..PspTerminateProcess...PspExitThread等等...其中很多很強大的辦法很多anti-rootkit的工具沒使用,我想可能就是為了穩定吧.的確
   另外,你可以用這個code來遮蔽某些程式的執行...其實這個code的效果就是已經執行的保護其程序,沒有執行的遮蔽其執行....程式碼寫得很草/.對系統性能也有一定影響,自己根據需要再改下吧...
   程式碼就是inline hook ObReferenceObjectByHandle使其跳到T_ObReferenceObjectByHandle中
   __declspec(naked)  T_ObReferenceObjectByHandle(
    IN HANDLE  Handle,
    IN ACCESS_MASK  DesiredAccess,
    IN POBJECT_TYPE  ObjectType  OPTIONAL,
    IN KPROCESSOR_MODE  AccessMode,
    OUT PVOID  *Object,
    OUT POBJECT_HANDLE_INFORMATION  HandleInformation  OPTIONAL
    )
{

  _asm
{

   mov     edi,edi------>>>執行被修改的前5個位元組
   push    ebp
   mov     ebp,esp
   
   push   [ebp+0x1c]------>>>引數壓棧
   push   [ebp+0x18]
   push   [ebp+0x14]
   push   [ebp+0x10]
   push   [ebp+0xc]
   push   [ebp+8]
  
   call   MyObReferenceObjectByHandle  -------->>>>呼叫我們的功能函式 
   cmp   eax,1   
   jz     end
   
   mov   eax,ObReferenceObjectByHandle -------->>>>正常執行原來的函式  
   add   eax,5           
   jmp   eax   
end:
   mov   [ebp+8],-1------>>>>如果不想讓這個函式正常執行..無效控制代碼就可以
   mov   eax,ObReferenceObjectByHandle     
   add   eax,5           
   jmp   eax   
   
}
  對原來函式是否要讓其正常執行的判斷由MyObReferenceObjectByHandle完成
   
  int  MyObReferenceObjectByHandle(
    IN HANDLE  Handle,
    IN ACCESS_MASK  DesiredAccess,
    IN POBJECT_TYPE  ObjectType  OPTIONAL,
    IN KPROCESSOR_MODE  AccessMode,
    OUT PVOID  *Object,
    OUT POBJECT_HANDLE_INFORMATION  HandleInformation  OPTIONAL
    )
{
 
  PEPROCESS Process;
  KIRQL  oldIrql;
  int JmpOffSet;
  unsigned char Code[5]={0x8b,0xff,0x55,0x8b,0xec};
  unsigned char JmpCode[5] = { 0xe9, 0x00, 0x00, 0x00, 0x00 };

  
  if(*PsProcessType==ObjectType)//判斷控制代碼所屬物件型別是不是*PsProcessType
 {

     oldIrql = KeRaiseIrqlToDpcLevel();
  __asm
  {
    CLI             
    MOV   eax, CR0     
    AND eax, NOT 10000H 
    MOV   CR0, eax
  }
  

  RtlCopyMemory ( ObReferenceObjectByHandle, Code, 5 );//恢復inline hook以便正確呼叫ObReferenceObjectByHandle
///////////////////////////////////////////////////////////////////////////////////////////////////////////////  
  
  
  ObReferenceObjectByHandle(Handle,DesiredAccess,ObjectType,AccessMode,&Process,NULL);
  if (_stricmp((char*)((char*)Process+0x174), ProtectName) == 0 )//判斷是不是我們要保護的程序
    {
      JmpOffSet= (char*)T_ObReferenceObjectByHandle - (char*)ObReferenceObjectByHandle - 5;
      RtlCopyMemory ( JmpCode+1, &JmpOffSet, 4 );
      RtlCopyMemory ( ObReferenceObjectByHandle, JmpCode, 5 );
        
      
   __asm
   {
     MOV   eax, CR0
     OR   eax, 10000H
     MOV   CR0, eax
     STI
   }
      
   KeLowerIrql(oldIrql);
   return 1;

    }
///////////////////////////////////////////////////////////////////////////////////////////////////////////////////  
  
  //否則再次HOOK這個函式
  JmpOffSet= (char*)T_ObReferenceObjectByHandle - (char*)ObReferenceObjectByHandle - 5;
  RtlCopyMemory ( JmpCode+1, &JmpOffSet, 4 );
  RtlCopyMemory ( ObReferenceObjectByHandle, JmpCode, 5 );
  
  __asm
  {
    MOV   eax, CR0
    OR   eax, 10000H
    MOV   CR0, eax
    STI
  }
  
  KeLowerIrql(oldIrql);

 }
 
 return 0;
}

上傳的附件

sysnap.rar (2008-05-30 19:16, 2.9 KB, 98 次下載)

VOID fake_ObReferenceObjectByHandle (     IN HANDLE Handle,     IN ACCESS_MASK DesiredAccess,     IN POBJECT_TYPE ObjectType,     IN KPROCESSOR_MODE AccessMode,     OUT PVOID *Object,     OUT POBJECT_HANDLE_INFORMATION HandleInformation     ) {   NTSTATUS  status;   WCHAR    Name[300];   BOOL      bFuck = FALSE;   PEPROCESS Process = NULL;   PUCHAR    currentProcessName = NULL;   HANDLE    ProcessID = NULL; // the owner process   status = OldObReferenceObjectByHandle( Handle, DesiredAccess, ObjectType, AccessMode, Object, HandleInformation);   _asm pushad   _asm pushfd               //               //  過濾操作               //    end:   _asm popfd   _asm popad skip:   _asm nop }