ObCallback回调钩子检测

2013-12-20 Nie.Meining Coding

在 PatchGuard 的摧残下,通过 ObRegisterCallbacks 函数注册回调钩子已经成了 RK/ARK 中的主流技术之一。注册回调钩子的具体做法可以参考MSDN上的示例代码:http://code.msdn.microsoft.com/windowshardware/ObCallback-Sample-67a47841

今天研究了一下检测这类回调钩子的方法,发出来跟大家分享。本人水平有限,错漏之处还请大家指正。

首先关注的还是注册回调钩子时调用的 ObRegisterCallbacks 函数,MSDN上的函数声明如下:

NTSTATUS ObRegisterCallbacks(
	_In_   POB_CALLBACK_REGISTRATION CallBackRegistration,
	_Out_  PVOID *RegistrationHandle
);


也就是说调用该函数后,我们会得到一个神奇的 RegistrationHandle 指针,而该指针指向的数据结构必然用于描述本次注册的回调钩子(否则 ObUnRegisterCallbacks 就摘不掉钩子了)。

经过一番逆向和调试,发现这个数据结构由三个部分顺序组织在内存中:

-----------------------------------------------------------------------------------------------------

Part1:

钩子数据结构的头部信息,如版本号,CallbackOperator 个数等


Part2:(这个部分的长度取决于该回调钩子包含多少个CallbackOperator)

钩子数据结构的CallbackOperator1 相关信息

钩子数据结构的CallbackOperator2 相关信息

……


Part3:

钩子数据结构的额外信息,如 Altitude 等

-----------------------------------------------------------------------------------------------------

具体来讲,用 C 语言可以描述如下:

struct CALLBACK_NODE {
	// 版本号,目前是 0x100, 可通过 ObGetFilterVersion 获取该值
	USHORT		usVersion;

	// 本节点上有多少个 CallbackOperator,即多少个 CallbackBodies
	USHORT		usCallbackBodyCount;

	// 注册回调时设定的 OB_CALLBACK_REGISTRATION.RegistrationContext
	// 即 PreCallbackRoutine 和 PostCallbackRoutine 的参数
	PVOID		pContext;

	// 这里似乎是 0x000C000C/0x00080008 一类的值
	ULONG		ulXXX_000X000X;

	// 指向 Altitude 字符串
	// 注意这个字符串因为最大长度是恒定的,所以不一定以 NULL 结尾
	PWCHAR		wcsAltitude;

	// CALLBACK_BODY 数组,其元素个数为 ulCallbackCount
	struct CALLBACK_BODY CallbackBodies[1];
	
	//
	// CALLBACK_BODY数组后,紧接着 Altitude 字符串和一些其它数据
	//
};


其中的 struct CALLBACK_BODY CallbackBodies[] 数组就是描述该 CallbackNode 上的各个 CallbackOperator 的数据结构:

struct CALLBACK_BODY {

	// 所有的 CALLBACK_NODE 通过这个链表串在一起
	LIST_ENTRY	ListEntry;

	// 注册回调时设定的 OB_OPERATION_REGISTRATION.Operations,
	// 即 OB_OPERATION_HANDLE_CREATE 这些东西
	ULONG		ulOperations;

	// 这里似乎始终是 1
	ULONG		ulXXX_1;

	// 指向该 CallbackBody 对应的 CallbackNode
	struct CALLBACK_NODE* pCallbackNode;

	// 注册回调时设定的 OB_OPERATION_REGISTRATION.pObjectType
	// 即 PsProcessType,PsThreadType 这些东西
	PVOID		pObjectType;

	// 这就是注册回调时设定的 PreCallbackRoutine 函数地址
	PVOID		pPreCallbackRoutine;

	// 这就是注册回调时设定的 PostCallbackRoutine 函数地址
	PVOID		pPostCallbackRoutine;

	// 这里似乎是个引用计数
	ULONG		ulRefCount;

};


注意这里面的 CALLBACK_BODY.ListEntry 链表很有意思,它将系统中的其它 CALLBACK_NODE.CallbackBodies 都链在了一起。因此我们就可以通过遍历这个链表检测系统中的其它回调钩子。

检测的大致思路是,先自己调用ObRegisterCallbacks注册一个假钩子,这样就得到了一个节点,然后用这个节点开始遍历。

写了一个测试代码,在64位Win8系统上测试截图如下:

x64bd360.png

图中 CallbackDetect.sys 中钩子是我的检测模块注册的假钩子;bd0001.sys 中的钩子是百度卫士注册的钩子;其它是360注册的钩子。


完整测试代码下载(64位/32位系统通用):CallbackDetect.zip 

评论:

hendraweb
2020-05-27 15:48
Официальный сайт Гидра https://hydra-wed2.org

Гидра сайт анонимных покупок https://hydra-wed2.org

Гидра зеркало официального сайта
https://hydra-wed2.org

<a href=https://hydra-wed2.org[/url>

гидра онион санкт петербург    </a>

https://hydra-wed2.org/300
sunnystoneru
2020-05-14 17:11
Светодиодная брусчатка на солнечных батареях
Применяется для декоративной подсветки:
-дорожек на коттеджных участках
- велодорожек
-заездов в гараж
-парков, площадей, садов
-тротуаров, аллей
-дорожек вокруг бассейнов
-фонтанов
-для подсветки тротуаров и ландшафта
- для навигации в темное время суток


ДОСТОИНСТВА:
ЭКОНОМИЯ НА МОНТАЖЕ ДО 40%
В сравнении с проводной светодиодной брусчаткой, Вы экономите до 40% от общей сметы за счет отсутствия: влагозащищенного кабеля, автоматики, щита управления и монтажа электрики

ПРОСТОТА МОНТАЖА
Достаточно вытащить элемент брусчатки и вставить светодиодный

ВЫДЕРЖИВАЕТ ВЕС АВТОМОБИЛЯ

ВОДО-ПЫЛЕНЕПРОНИЦАЕМА
Степень зашиты наших изделий IP 68 - это значит, что герметичность конструкции столь высока, что брусчатка может бесперебойно работать даже при погружении в воду на глубину в 1 метр


+Соответствует современным тенденциям энергосбережения и
нормам защиты окружающей среды
+ Защита от выцветания
+ Декоративная привлекательность
+ Высокое качество
+ Долговечность
+ Для установки не требуется получения разрешения
+ Удешевление за счет самостоятельного монтажа
+ Повышение безопасности благодаря обозначениям границ
перемещения в темное время суток
+ Установка без проводов и подключения к
электричеству
+Устойчивость к высоким температурам, до +80 градусов
+ Высокая прочность, выдерживающая большие нагрузки
+ Функциональность при низких температурах
+ Водонепроницаемость
+ Износоустойчивость
+ Возможность монтажа абсолютно в любое место, где
падает солнечный свет


ЭКОТРЕНД 2020 ГОДА


Гарантия 24 месяцев

Как экономить на освещении участка ночью

Установить светодиодную брусчатку, которая будет заряжаться от солнца и отдавать свет в тёмное время суток.
заряжаются от солнца
не нужно подключение к сети
легко устанавливаются
хорошо освещают
долговечны


Сейчас по сниженной цене.
http://sunnystone.ru/
<a href=http://sunnystone.ru/>
брусчатка светодиод    </a>
sunnystoneru
2020-05-14 14:16
Светодиодная брусчатка на солнечных батареях
Применяется для декоративной подсветки:
-дорожек на коттеджных участках
- велодорожек
-заездов в гараж
-парков, площадей, садов
-тротуаров, аллей
-дорожек вокруг бассейнов
-фонтанов
-для подсветки тротуаров и ландшафта
- для навигации в темное время суток


ДОСТОИНСТВА:
ЭКОНОМИЯ НА МОНТАЖЕ ДО 40%
В сравнении с проводной светодиодной брусчаткой, Вы экономите до 40% от общей сметы за счет отсутствия: влагозащищенного кабеля, автоматики, щита управления и монтажа электрики

ПРОСТОТА МОНТАЖА
Достаточно вытащить элемент брусчатки и вставить светодиодный

ВЫДЕРЖИВАЕТ ВЕС АВТОМОБИЛЯ

ВОДО-ПЫЛЕНЕПРОНИЦАЕМА
Степень зашиты наших изделий IP 68 - это значит, что герметичность конструкции столь высока, что брусчатка может бесперебойно работать даже при погружении в воду на глубину в 1 метр


+Соответствует современным тенденциям энергосбережения и
нормам защиты окружающей среды
+ Защита от выцветания
+ Декоративная привлекательность
+ Высокое качество
+ Долговечность
+ Для установки не требуется получения разрешения
+ Удешевление за счет самостоятельного монтажа
+ Повышение безопасности благодаря обозначениям границ
перемещения в темное время суток
+ Установка без проводов и подключения к
электричеству
+Устойчивость к высоким температурам, до +80 градусов
+ Высокая прочность, выдерживающая большие нагрузки
+ Функциональность при низких температурах
+ Водонепроницаемость
+ Износоустойчивость
+ Возможность монтажа абсолютно в любое место, где
падает солнечный свет


ЭКОТРЕНД 2020 ГОДА


Гарантия 24 месяцев

Как экономить на освещении участка ночью

Установить светодиодную брусчатку, которая будет заряжаться от солнца и отдавать свет в тёмное время суток.
заряжаются от солнца
не нужно подключение к сети
легко устанавливаются
хорошо освещают
долговечны


Сейчас по сниженной цене.
http://sunnystone.ru/
<a href=http://sunnystone.ru/>
декоративное освещение отзывы</a>
arabvekay
2020-04-06 01:10
http://iser2016.org/
http://quickcash24.com/
https://27cashadvance.com/
https://3-yearloans.com
https://67cashtoday.com/
https://27cashadvance.com/
http://expofarma2017.com/index.php/expositores/quienes-nos-visitan
http://louisianaseafoodfestival2017.com/about/
http://uswta.org
http://summitcitylounge.com/local/
http://chinalac2017.com/EN
http://ticketmastermobilestudio.com/
https://cikm2013.org/
http://isr2015ec.org/
http://fast5kloans.org
http://dis2016.org/
https://or2018.net/
http://www.wtc2016.us/
http://www.alsoldelmar.com/
http://smc2017.org/
http://lizforindiana.com/bad-credit-loans/
https://ifso2018.com/
http://www.ictac2015.co/
http://healthwellnessrevolution.com/
http://bestticonderogahotel.com
https://rotary2018.org/
https://rotary2018.org/
https://aihce2017.org/
http://www.fessh2017.com/
https://wvac2018.org
https://24cashloans.com
http://dis2016.org/
http://icmr2015.org/
http://www.capitaleclipse.org/
https://ieee-sensors2016.org
http://aapa2016mexico.com/
http://www.58pic2017.org/
http://lasvegas2014.org/
http://europeanconference.org/
http://ict-2017.org
http://kennedyacc2018.com/
http://jdbcfoundation.org/
http://www.plea2016.org/
http://www.si-istanbul2015.org/
http://egs2016.org
http://tropvetmed2018.com/
http://ica2017.org/
http://uvandskincancer2015.org/
http://www.nasconstellations.org/
http://geoafrica2017.com/
https://rebuildingtheweb.com/online-cash-advance/
http://wleb.org/
http://vas2017.org/
https://elcivicsonline.org/
http://elsakl2018.com/
http://acity2018.org/
http://isbi2016.com/
http://ufwh2016.org/
https//www.willplayforfoodfoundation.org
http://clt2017.org/esp/
https://mpsilva.com/
http://www.mobilecommerceinsider.com/fast-cash-loans-online/
http://getcomposite.com/
http://broadbeachcountry.com/
http://audela.org/dokuwiki/doku.php/en/start
http://cafesaintregisparis.com/
http://arco2016.com/
http://issta2014.org/
http://eco2013.info/
http://atlastechng.com/
http://fastloans24.net
http://openplanetary.co
https://connectmogul.com/
http://mcdaniel2018.com/
https://iaea2017.org
http://xperience2017.com/
http://futuralliabucharest2015.com/
http://www.wca2016.com/call-for-abstract.htm
http://biospain2016.org
http://ebitan.org/
http://esera2017.org/
http://gratisoft.us/
https://powdermet2018.org/
http://aslm2014.org/
http://egs2016.org/
http://aapa2017.com/
https://www.quickcashloans.net/
http://24cashloans.com/
http://www.e-speak.net
http://illinoismanufacturing.org
https://24cashtoday.com/
hnbaanio
2020-04-03 13:12
hddra oni

http://hydra-onion2.org/
[url]http://hydra-onion2.org/[/url]
hadrabunk
2020-03-04 10:35
http://hydra-bunker.com/
[url]http://hydra-bunker.com/[/url]
hardanana
2020-03-01 05:31
http://hydra-relax.net/
http://hydra-web24.cn/

http://hydra-relax.net/

<a href=http://hydra-web24.cn/>
Гидра магазин</a>
driamannala
2020-01-07 11:05
Агентство недвижимости Dream Alanya приветствует вас!
Друзья, от всей души благодарим вас за то, что вы посетили наш сайт! Мы искренне рады вашему визиту. На сайте "Dream Alanya" мы предоставляем вашему вниманию большой объём деловой, аналитической, культурной и справочной информации. Вы - наши клиенты, и мы с радостью готовы предоставить профессиональные услуги высокой степени надёжности от нашего агентства.

http://www.dreamalanya.com/
<a href=http://www.dreamalanya.com/>
купить апартаменты в алании</a>
serrmuodi
2020-01-05 23:48
Репутационный маркетинг от reBooster – это не только зачистка или вброс отзывов на нужных сайтах. В первую очередь – это белые способы работы с репутацией компании и бренда.

Любой маркетинговый бюджет, вложенный при негативной репутации в сети - это сожженные средства компании!
Профессионально специализируемся на:

* B2b- проектах
* HR- репутации
* Медицинских услугах
* Недвижимости
* Автобизнесе
* Сфере образовательных услуг
* E-com- проектах

Хотите оценить репутацию вашей компании - закажите serm аудит бесплатно!


Что мы делаем?

* Периодический мониторинг
Проводим ручной и автоматический мониторинг поисковой выдачи Яндекса и Google
* SERM
Формируем позитивный имидж за счет вытеснения существующего негатива
* ORM
Выявляем и оперативно реагируем на негативные упоминания. Создаем и размещаем положительные отзывы и комментарии к ним.
* Партизанский маркетинг
Инициируем обсуждения от лица пользователей (агентов влияния), которым доверяет аудитория
* Репутационный PR
Пишем и продвигаем тематические статьи, обзоры и пресс-релизы на различных ресурсах и работаем с нужными Лидерами мнений
* SMM
Создаём, наполняем, продвигаем группы и контент во всех социальных сетях
* Юридическое удаление
Наши юристы умеют решать проблемные моменты в судебном и до судебном порядке
* Копирайтинг
Пишем профильный контент, обладая существенными опытом копирайтинга в различных сферах клиентского бизнеса


Почему reBooster?

! Сильный копирайтинг
Наш контент выглядит максимально естественно, мы - эксперты в каждой из отраслей.
! Гарантии
Мы берем на себя гарантийные обязательства по оговоренным с клиентом KPI!
! Прокачанные АВ
Наша база Агентов Влияния состоит только из рейтинговых аккаунтов, над которыми мы работали не один год и охватывает 95% всех существующих площадок


Охват?

Управление репутацией на 100+ площадках в рунете и зарубежном сегменте
* Отзовики и рекомендации
* Маркетплейсы и каталоги
* Ифопорталы & форумы
* Поисковики
* HR- порталы
* Карты


Почему ВАЖНО управлять репутацией в интернете?
70% пользователей совершают покупку на основе отзывов в интернете

Медицинские услуги - 83%
Недвижимость - 71%
Автомобили - 59%
Одежда и обувь - 52%
Продукты питания - 18%

Репутационный маркетинг от reBooster – это не только зачистка или вброс отзывов на нужных сайтах. В первую очередь – это белые способы работы с репутацией компании и бренда.

Любой маркетинговый бюджет, вложенный при негативной репутации в сети - это сожженные средства компании!

Профессионально специализируемся на:

* B2b- проектах
* HR- репутации
* Медицинских услугах
* Недвижимости
* Автобизнесе
* Сфере образовательных услуг
* E-com- проектах

Хотите оценить репутацию вашей компании - закажите serm аудит бесплатно!

http://rebooster.ru/forbiz
<a href=http://rebooster.ru/forbiz>
управление репутацией в интернете цена</a>
maionimen
2019-12-29 05:09
Каждую неделю в Японии выходит новое аниме, которое Вы можете посмотреть на нашем сайте онлайн. Они называются ongoing (онгоинги). После выхода наступает черед за фансаберами: сначала серии переводятся на английский, потом на русский и только после этого аниме озвучивается фандаберами и публикуется на аниме сайтах.


Мы стараемся публиковать аниме как можно раньше, но всегда нужно учитывать, что большинство людей, которые переводят и озвучивают, занимаются этим в свободное от работы время. Уважайте и цените их труд, потому что они все делают с душой, ради вашего удовольствия.

https://myanime.online/
<a href=https://myanime.online/>
найти аниме</a>
samalakay
2019-12-27 00:56
Samokatlon – интернет-магазин спортивных товаров
Интернет магазин Samokatlon – это один из немногих магазинов, который предлагает вашему вниманию качественные товары по выгодным ценам. Среди широкого ассортимента товаров, вы сможете найти самые разнообразные товары для активного спорта:

скейтборды;
велосипеды;
самокаты;
дополнительные комплектующие;
<a href=https://samokatlon.ru/>
самокат scooter трехколесный</a>
https://samokatlon.ru/
samalakay
2019-12-25 19:14
Samokatlon – интернет-магазин спортивных товаров
Интернет магазин Samokatlon – это один из немногих магазинов, который предлагает вашему вниманию качественные товары по выгодным ценам. Среди широкого ассортимента товаров, вы сможете найти самые разнообразные товары для активного спорта:

скейтборды;
велосипеды;
самокаты;
дополнительные комплектующие;
<a href=https://samokatlon.ru/>
интернет магазин самокатов москва</a>
https://samokatlon.ru/
Марат
2019-11-26 14:50
Перезвоните мне
swedbaiva
2019-11-26 11:54
Все для свадьбы в Иваново, Владимире, Ярославле и Костроме.
Лучшие специалисты event-индустрии: ведущие, свадебные кортежи, артисты, фотографы ,рестораны и банкетные залы, свадебные украшения,букет невесты, свадебные платья и обручальные кольца ...
Вас ожидает креативный и незабываемый праздник!
<a href=https://ostrov-nevest.ru/blog>
заказать свадебные машины</a>

https://ostrov-nevest.ru/blog
promgorera
2019-11-11 03:40
Организация «Пром Гарант» занимается поставкой и обслуживанием оборудования для разлива любых видов жидкостей. Фирма ответственно подходит к делу и проводит пуско-наладочные работы. Обратиться в фирму сможет всякий кто желает, кому надо оборудование по розливу питьевой воды как здесь: https://prom-garant.com/product/the-...t-for-pouring/ и если он нуждается в прочем оборудовании для разлива всевозможных жидкостей. Технический профессионал при необходимости сделает замеры в помещении заказчикаи предложит рабочий проект производства. После этого останется принять решение по поводу установки оборудования.
Перечень услуг:



http://vkmonline.com/users/wall/833872

发表评论:

Powered by emlog