Rootkit技术之内核钩子原理[3]

三、定义钩子函数
内核钩子主要有三部分组成：要钩取的函数（在下文中称为目标函数）、替代要钩取的函数的函数（在下文中成为钩子函数）和系统调用表。前面部分介绍了系统调用表的问题，下面开始介绍钩子函数。一般说来，当定义自己的钩子函数时，可以先到DDK 的头文件中找到所想要的函数的原型，然后，稍加修改就能把目标函数变成钩子函数了。

例如，ZwMapViewOfSection 是一个内核函数，允许应用程序把从动态链接库导出的函数映射至内存。如果我们想要钩住这个内核函数，那么可以到ntddk.h头文件中查看其函数原型，如下所示：

NTSYSAPI
NTSTATUS
NTAPI
ZwMapViewOfSection(
IN HANDLE SectionHandle,
IN HANDLE ProcessHandle,
IN OUT PVOID *BaseAddress,
IN ULONG ZeroBits,
IN ULONG CommitSize,
IN OUT PLARGE_INTEGER SectionOffset OPTIONAL,
IN OUT PSIZE_T ViewSize,
IN SECTION_INHERIT InheritDisposition,
IN ULONG AllocationType,
IN ULONG Protect );



有了函数原型，我们就可以确定指向目标函数的指针了，如下所示：


typedef NTSTATUS (*ZWMAPVIEWOFSECTION)(
IN HANDLE SectionHandle,
IN HANDLE ProcessHandle,
IN OUT PVOID *BaseAddress,
IN ULONG ZeroBits,
IN ULONG CommitSize,
IN OUT PLARGE_INTEGER SectionOffset OPTIONAL,
IN OUT PSIZE_T ViewSize,
IN SECTION_INHERIT InheritDisposition,
IN ULONG AllocationType,
IN ULONG Protect );

ZWMAPVIEWOFSECTION OldZwMapViewOfSection;



钩子函数如下所示：

NTSTATUS NewZwMapViewOfSection(
IN HANDLE SectionHandle,
IN HANDLE ProcessHandle,
IN OUT PVOID *BaseAddress,
IN ULONG ZeroBits,
IN ULONG CommitSize,
IN OUT PLARGE_INTEGER SectionOffset OPTIONAL,
IN OUT PSIZE_T ViewSize,
IN SECTION_INHERIT InheritDisposition,
IN ULONG AllocationType,
IN ULONG Protect )
{
NTSTATUS status;

DbgPrint("comint32: NewZwMapViewOfSection called.");
//我们可以对输入为所欲为，既可以马上返回，也可以继续执行原函数

status = OldZwMapViewOfSection(SectionHandle,
ProcessHandle,
BaseAddress,
ZeroBits,
CommitSize,
SectionOffset OPTIONAL,
ViewSize,
InheritDisposition,
AllocationType,
Protect );

// 我们可以在此对输出为所欲为，想返回什么，就返回什么
return status;
}

好了，钩子技术的三大件已经准备好了。现在，我们就可以像下面这样使用它们：

HOOK( ZwMapViewOfSection, NewZwMapViewOfSection, OldZwMapViewOfSection );


如果你打算使用DriverUnload ()的话，可千万不要忘了卸载钩子。

文章来自: 本站原创
Tags: