ObCallback回调钩子检测

2013-12-20 Nie.Meining Coding

在 PatchGuard 的摧残下,通过 ObRegisterCallbacks 函数注册回调钩子已经成了 RK/ARK 中的主流技术之一。注册回调钩子的具体做法可以参考MSDN上的示例代码:http://code.msdn.microsoft.com/windowshardware/ObCallback-Sample-67a47841

今天研究了一下检测这类回调钩子的方法,发出来跟大家分享。本人水平有限,错漏之处还请大家指正。

首先关注的还是注册回调钩子时调用的 ObRegisterCallbacks 函数,MSDN上的函数声明如下:

NTSTATUS ObRegisterCallbacks(
	_In_   POB_CALLBACK_REGISTRATION CallBackRegistration,
	_Out_  PVOID *RegistrationHandle
);


也就是说调用该函数后,我们会得到一个神奇的 RegistrationHandle 指针,而该指针指向的数据结构必然用于描述本次注册的回调钩子(否则 ObUnRegisterCallbacks 就摘不掉钩子了)。

经过一番逆向和调试,发现这个数据结构由三个部分顺序组织在内存中:

-----------------------------------------------------------------------------------------------------

Part1:

钩子数据结构的头部信息,如版本号,CallbackOperator 个数等


Part2:(这个部分的长度取决于该回调钩子包含多少个CallbackOperator)

钩子数据结构的CallbackOperator1 相关信息

钩子数据结构的CallbackOperator2 相关信息

……


Part3:

钩子数据结构的额外信息,如 Altitude 等

-----------------------------------------------------------------------------------------------------

具体来讲,用 C 语言可以描述如下:

struct CALLBACK_NODE {
	// 版本号,目前是 0x100, 可通过 ObGetFilterVersion 获取该值
	USHORT		usVersion;

	// 本节点上有多少个 CallbackOperator,即多少个 CallbackBodies
	USHORT		usCallbackBodyCount;

	// 注册回调时设定的 OB_CALLBACK_REGISTRATION.RegistrationContext
	// 即 PreCallbackRoutine 和 PostCallbackRoutine 的参数
	PVOID		pContext;

	// 这里似乎是 0x000C000C/0x00080008 一类的值
	ULONG		ulXXX_000X000X;

	// 指向 Altitude 字符串
	// 注意这个字符串因为最大长度是恒定的,所以不一定以 NULL 结尾
	PWCHAR		wcsAltitude;

	// CALLBACK_BODY 数组,其元素个数为 ulCallbackCount
	struct CALLBACK_BODY CallbackBodies[1];
	
	//
	// CALLBACK_BODY数组后,紧接着 Altitude 字符串和一些其它数据
	//
};


其中的 struct CALLBACK_BODY CallbackBodies[] 数组就是描述该 CallbackNode 上的各个 CallbackOperator 的数据结构:

struct CALLBACK_BODY {

	// 所有的 CALLBACK_NODE 通过这个链表串在一起
	LIST_ENTRY	ListEntry;

	// 注册回调时设定的 OB_OPERATION_REGISTRATION.Operations,
	// 即 OB_OPERATION_HANDLE_CREATE 这些东西
	ULONG		ulOperations;

	// 这里似乎始终是 1
	ULONG		ulXXX_1;

	// 指向该 CallbackBody 对应的 CallbackNode
	struct CALLBACK_NODE* pCallbackNode;

	// 注册回调时设定的 OB_OPERATION_REGISTRATION.pObjectType
	// 即 PsProcessType,PsThreadType 这些东西
	PVOID		pObjectType;

	// 这就是注册回调时设定的 PreCallbackRoutine 函数地址
	PVOID		pPreCallbackRoutine;

	// 这就是注册回调时设定的 PostCallbackRoutine 函数地址
	PVOID		pPostCallbackRoutine;

	// 这里似乎是个引用计数
	ULONG		ulRefCount;

};


注意这里面的 CALLBACK_BODY.ListEntry 链表很有意思,它将系统中的其它 CALLBACK_NODE.CallbackBodies 都链在了一起。因此我们就可以通过遍历这个链表检测系统中的其它回调钩子。

检测的大致思路是,先自己调用ObRegisterCallbacks注册一个假钩子,这样就得到了一个节点,然后用这个节点开始遍历。

写了一个测试代码,在64位Win8系统上测试截图如下:

x64bd360.png

图中 CallbackDetect.sys 中钩子是我的检测模块注册的假钩子;bd0001.sys 中的钩子是百度卫士注册的钩子;其它是360注册的钩子。


完整测试代码下载(64位/32位系统通用):CallbackDetect.zip 

评论:

chislapard
2021-12-02 08:54
расчёт личных чисел: число Души, число Пути, Число Кармы, Число Подарка, Число Предназначения. https://www.go-numbers.com/p/blog-page_26.html
<a href=https://www.go-numbers.com/p/blog-page_26.html>
число Подарка</a> <a href="https://www.go-numbers.com/p/blog-page_26.html">
число Пути</a>
chislapard
2021-12-02 05:44
расчёт личных чисел: число Души, число Пути, Число Кармы, Число Подарка, Число Предназначения. https://www.go-numbers.com/p/blog-page_26.html
<a href=https://www.go-numbers.com/p/blog-page_26.html>
число Предназначения</a> <a href="https://www.go-numbers.com/p/blog-page_26.html">
число Кармы</a>
chislapard
2021-12-02 02:01
расчёт личных чисел: число Души, число Пути, Число Кармы, Число Подарка, Число Предназначения. https://www.go-numbers.com/p/blog-page_26.html
<a href=https://www.go-numbers.com/p/blog-page_26.html>
число Кармы</a> <a href="https://www.go-numbers.com/p/blog-page_26.html">
число Подарка</a>
charrgerr
2021-11-30 04:18
<a href=>
listen to this podcast homechargingstations.com</a> <a href="
https://www.homechargingstations.com/best-ev-home-chargers-polestar-2/">
view it buy best ev chargers</a>
minikiol
2021-11-29 06:02
http://www.bawinfo.ru/forum/member.php?14565-parnalart
http://www.cityup.org/bbs/space-uid-489353.html
http://ibooks.su/user/parnalart/
http://bbs.zhiyou100.com/home.php?mod=space&uid=122554
http://1cka.info/user/parnalart/
parnalart
2021-11-28 14:01
<a href=https://lordfilmz.biz/>
смотреть порно</a> <a href="https://lordfilmz.biz/">
lordzporno</a>
parnalart
2021-11-28 08:53
<a href=https://lordfilmz.biz/>
онлайн порно</a> <a href="https://lordfilmz.biz/">
сериалы порно</a>
oftoppicar
2021-11-21 11:30
<a href=https://hydra.onionss.com/>
Гидра сайт</a> <a href="https://hydra.onionss.com/">
Гидра зайти на гидру</a>
https://hydra.onionss.com/
oftoppicar
2021-11-21 05:42
<a href=https://hydra.onionss.com/>
Гидра маркетплейс</a> <a href="https://hydra.onionss.com/">
Гидра рабочее зеркало</a>
https://hydra.onionss.com/
rplatpoli
2021-11-15 03:28
<a href=https://hydraruxzcnew4af.com/>
Hydra 2021</a>  <a href="https://hydraruxzcnew4af.com/">
Hydra ссылка</a>
https://hydraruxzcnew4af.com/
bigblacoc
2021-11-13 04:40
<a href=https://hydraruzxpinew4aft-onion.com/>
hydraruzxpnew4af</a> <a href="https://hydraruzxpinew4aft-onion.com/">
Hydra 2021</a>
nujokimo
2021-10-31 19:13
<a href=https://lordfilm.gg/filmy/>
порно жесткий</a> <a href="https://lordfilm.gg/filmy/">
трахнул блядь</a>
https://lordfilm.gg/filmy/
nikiobunim
2021-10-31 06:13
<a href=https://hydraruzxpnew4af.onionii.com/>
Гидра darknet</a> <a href="https://hydraruzxpnew4af.onionii.com/">
Hydra ссылка</a>
https://hydraruzxpnew4af.onionii.com/
munikolqq
2021-10-30 10:39
<a href=https://hydra-dealer.net/>
hydra2web</a> <a href="https://hydra-dealer.net/">
Hydra 2021</a>
https://hydra-dealer.net/
buliknulik
2021-10-25 10:07
<a href=https://lordfilm.ooo/>
lordfilm.vet</a> <a href="https://lordfilm.ooo/">
lordfilm.vet</a>
https://lordfilm.ooo/

发表评论:

Powered by emlog