学习记录--HooKSystemCall

前言：

这两天看了一个github上的项目，记录一下学习的心得。

Win32 API大多数都要从Ring3层进入Ring0层，在内核中完成主要操作。这中间肯定要经过KiFastSystemCall这个过程，这个调用是Ring3层的。这些知识在《Windows内核安全与驱动开发》21章中。

项目：

HookSystemCall大致原理就是自己构建一个类似SSDT的东西，当有函数通过KiFastSystemCall进入内核时，就进入自己构建的SSDT中的函数。代码如下，dwHookSystemCall中保存的是自己的函数地址，dwOrigSystemCall中保存的是SSDT中原始的函数地址。Zw函数都是通过索引在SSDT中找相应的Nt函数，索引即在函数的第二个字节。

//HOOK后跳入的函数地址
DWORD dwHookSystemCall[0x4C8*10] = {0};

//保存原始函数调用地址
DWORD *dwOrigSystemCall[0x4C8*10] = {0};


//调用函数GetDllFuncAddr以便获得服务号
int HookSystemCall::GetSysCallIndex( PCHAR FuncName )
{
    DWORD          FuncAddr;    //函数地址
    int            SysCallIndex;//服务号
    FuncAddr = (DWORD)GetProcAddress(GetModuleHandleA("ntdll.dll"),FuncName);
    SysCallIndex = *( (WORD*)(FuncAddr + 1) );
    return SysCallIndex;
}

接下来要Hook KiFastSystemCall，这个调用代码如下：

77866190 >  8BD4             MOV EDX,ESP
77866192    0F34             SYSENTER
77866194 >  C3               RETN

可以看到只有短短5个字节，所以要 Hook就要先进行短跳转，再来一发长跳转，如下：

//    Hook KiFastSystemCall
    *(PWORD)ULongToPtr(dwKiFastSystemCall) = 0xF9EB; //即 EB F9 --> 向前跳5个字节
    *(PBYTE)ULongToPtr(dwKiFastSystemCall - 0x5) = 0xE9;
    *(PDWORD)ULongToPtr(dwKiFastSystemCall - 0x4) = PtrToUlong(KiFastSystemCall) - (dwKiFastSystemCall - 0x5) - 5;//跳到自己的KiFastSystemCall中

自己的KiFastSystemCall如下：

DWORD HookFunctionAdress;
__declspec(naked) void KiFastSystemCall()
{
    
    __asm{
        pushad
            pushfd

            cmp         dword ptr [eax*4+dwHookSystemCall],0；比较是否已经有Hook过的函数

            jz          Label
            popfd
            popad
            add         esp,4
            jmp         dword ptr [dwHookSystemCall+eax*4]

Label:

        push eax
        call HookFunctionAdress
        popfd
        popad
        jmp         KiFastSystemCallEx

    }
}

对于KiFastSystemCall需要补充一点，Ring3层的堆栈空间如何被传入Ring0层代码中，这里用的方法是MOV EDX,ESP。在内核代码中直接MOV ESP,EDX就可以得到Ring3层的堆栈空间，完全不用拷贝就能直接得到所有的参数。而上面代码 add esp,4 是因为当调用Zw函数时进入Zw再进入KiFastSystemCall中已经发生一次call，esp向上抬了4个字节，需要加回来才能调用正确的参数。

下面就是安装钩子的代码了：

// 安装钩子
BOOL HookSystemCall::InstallHook(PCHAR FunName,        //NTAPI
                                 DWORD pHookFunc,    //HOOK的函数
                                 DWORD * pOrigFunc)    //返回的函数
{
    DWORD dwOldProtect;
    DWORD dwIndex = GetSysCallIndex(FunName);
    DWORD    dwFunadd =PtrToUlong(GetProcAddress(GetModuleHandleA("NTDLL.dll"), FunName));
    
    //保存各种信息
    dwHookSystemCall[dwIndex] = pHookFunc;
    dwOrigSystemCall[dwIndex] = (PDWORD)malloc(0x10);
    
    //将原本的ZW函数保存进去
    memcpy(dwOrigSystemCall[dwIndex],(PVOID)dwFunadd,0x10);
    
    //野猪改造开始
    VirtualProtect(ULongToPtr(dwOrigSystemCall[dwIndex]), 0x10, PAGE_EXECUTE_READWRITE, &dwOldProtect);

    *(PBYTE)((DWORD)dwOrigSystemCall[dwIndex]    + 5)    =     0xE8;
    *(PDWORD)((DWORD)dwOrigSystemCall[dwIndex] + 6)        =     (DWORD)KiFastSystemCallEx - (DWORD)dwOrigSystemCall[dwIndex] -0xA;//修改系统的KiFastSystemCall为自己的
    *(PWORD)((DWORD)dwOrigSystemCall[dwIndex]    + 10)    =     0x9090;

    * pOrigFunc = (DWORD)dwOrigSystemCall[dwIndex];
    
    return 0;
}


// Ex安装钩子
BOOL HookSystemCall::InstallHookEx(DWORD dwIndex,        //NTAPI
                                   WORD dwRetIndex,    //返回堆栈平衡
                                   DWORD pHookFunc,        //HOOK的函数
                                   DWORD * pOrigFunc)    //返回的函数
{
    DWORD dwOldProtect;

    //保存各种信息
    dwHookSystemCall[dwIndex] = pHookFunc;
    dwOrigSystemCall[dwIndex] = (PDWORD)malloc(0x10);

    //将原本的ZW函数保存进去
    memcpy(dwOrigSystemCall[dwIndex],(PVOID)SystemCall,0x10);

    //野猪改造开始
    VirtualProtect(ULongToPtr(dwOrigSystemCall[dwIndex]), 0x10, PAGE_EXECUTE_READWRITE, &dwOldProtect);

    *(PDWORD)((DWORD)dwOrigSystemCall[dwIndex] + 2)        =     (DWORD)dwIndex;
    *(PDWORD)((DWORD)dwOrigSystemCall[dwIndex] + 7)        =     (DWORD)KiFastSystemCallEx - (DWORD)dwOrigSystemCall[dwIndex] - 0xB;
    *(PWORD)((DWORD)dwOrigSystemCall[dwIndex]    + 12)    =     dwRetIndex;

    * pOrigFunc = (DWORD)dwOrigSystemCall[dwIndex];

    return 0;
}

EX这个主要是为了HOOK 一些不是NTDLL 导出的函数,比如NtUserFindWindowEx之类的函数,因为Shadow SSDT也是经由KiFastSystemCall进入内核,原理大概一致.
不过因为没办法直接获取函数INDEX所以必须根据系统版本自己确定,而且也无法获取函数地址,所以使用我们之前构造的函数原形来处理.ret的平衡也只能手动了!

最后附上源代码的地址：https://github.com/xiaomagexiao/GameDll/blob/master/HookSystemCall.cpp