ObCallback回调钩子检测

2013-12-20 Nie.Meining Coding

在 PatchGuard 的摧残下,通过 ObRegisterCallbacks 函数注册回调钩子已经成了 RK/ARK 中的主流技术之一。注册回调钩子的具体做法可以参考MSDN上的示例代码:http://code.msdn.microsoft.com/windowshardware/ObCallback-Sample-67a47841

今天研究了一下检测这类回调钩子的方法,发出来跟大家分享。本人水平有限,错漏之处还请大家指正。

首先关注的还是注册回调钩子时调用的 ObRegisterCallbacks 函数,MSDN上的函数声明如下:

NTSTATUS ObRegisterCallbacks(
	_In_   POB_CALLBACK_REGISTRATION CallBackRegistration,
	_Out_  PVOID *RegistrationHandle
);


也就是说调用该函数后,我们会得到一个神奇的 RegistrationHandle 指针,而该指针指向的数据结构必然用于描述本次注册的回调钩子(否则 ObUnRegisterCallbacks 就摘不掉钩子了)。

经过一番逆向和调试,发现这个数据结构由三个部分顺序组织在内存中:

-----------------------------------------------------------------------------------------------------

Part1:

钩子数据结构的头部信息,如版本号,CallbackOperator 个数等


Part2:(这个部分的长度取决于该回调钩子包含多少个CallbackOperator)

钩子数据结构的CallbackOperator1 相关信息

钩子数据结构的CallbackOperator2 相关信息

……


Part3:

钩子数据结构的额外信息,如 Altitude 等

-----------------------------------------------------------------------------------------------------

具体来讲,用 C 语言可以描述如下:

struct CALLBACK_NODE {
	// 版本号,目前是 0x100, 可通过 ObGetFilterVersion 获取该值
	USHORT		usVersion;

	// 本节点上有多少个 CallbackOperator,即多少个 CallbackBodies
	USHORT		usCallbackBodyCount;

	// 注册回调时设定的 OB_CALLBACK_REGISTRATION.RegistrationContext
	// 即 PreCallbackRoutine 和 PostCallbackRoutine 的参数
	PVOID		pContext;

	// 这里似乎是 0x000C000C/0x00080008 一类的值
	ULONG		ulXXX_000X000X;

	// 指向 Altitude 字符串
	// 注意这个字符串因为最大长度是恒定的,所以不一定以 NULL 结尾
	PWCHAR		wcsAltitude;

	// CALLBACK_BODY 数组,其元素个数为 ulCallbackCount
	struct CALLBACK_BODY CallbackBodies[1];
	
	//
	// CALLBACK_BODY数组后,紧接着 Altitude 字符串和一些其它数据
	//
};


其中的 struct CALLBACK_BODY CallbackBodies[] 数组就是描述该 CallbackNode 上的各个 CallbackOperator 的数据结构:

struct CALLBACK_BODY {

	// 所有的 CALLBACK_NODE 通过这个链表串在一起
	LIST_ENTRY	ListEntry;

	// 注册回调时设定的 OB_OPERATION_REGISTRATION.Operations,
	// 即 OB_OPERATION_HANDLE_CREATE 这些东西
	ULONG		ulOperations;

	// 这里似乎始终是 1
	ULONG		ulXXX_1;

	// 指向该 CallbackBody 对应的 CallbackNode
	struct CALLBACK_NODE* pCallbackNode;

	// 注册回调时设定的 OB_OPERATION_REGISTRATION.pObjectType
	// 即 PsProcessType,PsThreadType 这些东西
	PVOID		pObjectType;

	// 这就是注册回调时设定的 PreCallbackRoutine 函数地址
	PVOID		pPreCallbackRoutine;

	// 这就是注册回调时设定的 PostCallbackRoutine 函数地址
	PVOID		pPostCallbackRoutine;

	// 这里似乎是个引用计数
	ULONG		ulRefCount;

};


注意这里面的 CALLBACK_BODY.ListEntry 链表很有意思,它将系统中的其它 CALLBACK_NODE.CallbackBodies 都链在了一起。因此我们就可以通过遍历这个链表检测系统中的其它回调钩子。

检测的大致思路是,先自己调用ObRegisterCallbacks注册一个假钩子,这样就得到了一个节点,然后用这个节点开始遍历。

写了一个测试代码,在64位Win8系统上测试截图如下:

x64bd360.png

图中 CallbackDetect.sys 中钩子是我的检测模块注册的假钩子;bd0001.sys 中的钩子是百度卫士注册的钩子;其它是360注册的钩子。


完整测试代码下载(64位/32位系统通用):CallbackDetect.zip 

评论:

hydraonnet
2021-01-05 15:48
Особенности и преимущества сайта Гидра ?



Основным преимуществом маркетплейса заключается в том, что покупатели и продавцы соблюдают полную анонимность. К тому же пройдя на сайт <a href=https://hydraonion2021.net/>
гидра вход на сайт</a> и зарегистрировавшись, вы получите удобный личный кабинет и виртуальную корзину для покупок. Ассортимент магазинов Гидры постоянно пополняется. Для покупателей реализована анонимная оплата товаров при помощи криптовалюты биткоин.



<h2>Что делать, если сайт Гидра не открывается</h2>



Бывают ситуации, когда сайт Hydra не открывается. Во многих странах его блокируют провайдеры. В этом случае используйте зеркало сайта или VPN-подключение. Также можно изменить прокси-сервер. Во многих случаях такой метод помогает.

<a href=https://hydraonion2021.net/>
ссылка на гидру зеркало</a>
https://hydraonion2021.net/
admmnnastr
2020-12-29 00:59
Оптимизация, настройка и обслуживание VPS и физических серверов:

- Настройка связок: Apache+PHP, Nginx+PHP-FPM;

- Установка баз данных: MySQL, MariaDB;

- Тонкая настройка и оптимизация OS (CentOS, Debian, и др. );

- Установка и настройка панелей ISPManager, cPanel/VHM, Fastpanel;

- Перенос сайтов;

- Настройка firewall iptables (защита от ботов, различные фильтры);

- Настройка почтового сервера: Postfix+Dovecot+Roundcube;

- Установка и настройка DNS серверов: BIND, NSD;

- Установка и настройка прокси: SQUID, 3proxy;

- Установка и тонкая настройка OpenVPN, а так же связок sslh+stunnel+OpenVPN;

- Установка и настройка jabber сервера на базе ejabberd;

А так же оказываю услугу системного администрирования vps и серверов на постоянной основе (тюнинг, обновления, резервные копии и т. д. ), Провожу небольшие правки по верстке сайтов, установка CMS и т. п. ;

<a href=https://kwork.ru/server-administration/10276381/nastroyka-i-administrirovanie-vps-i-serverov>
Настройка VPS</a>
https://kwork.ru/server-administration/10276381/nastroyka-i-administrirovanie-vps-i-serverov
rbstrruu
2020-11-21 15:47
В Стерлитамакском районе в ДТП погиб молодой водитель без прав
Поздно ночью в темное время суток в Стерлитамакском районе произошла смертельная авария. Об этом сообщает пресс-служба ГИБДД по РБ.

По предварительным данным, на 26 км автодороги Стерлитамак-Стерлибашево 25-летний местный обитатель за рулём «Лады Веста» на повороте съехал в кювет. После чего легковой автотранспорт опрокинулся.

В результате аварии водитель от полученных травм скончался на месте происшествия. Известно, что ранее он был лишён водительских прав.

<a href=https://rb-str.ru>
Рецепты блюд</a>
https://rb-str.ru
consukting
2020-11-13 09:00
Возникла необходимость в срочной юридической помощи или консультации? Мы поможем решить любую неординарную ситуацию или проблему в юридических вопросах. Для этого просто оставьте свое заявление на нашем сайте по указанной форме или позвоните по нижеописанным номерам. Наша команда это сплоченный коллектив из первоклассных <strong>юристов Московской области</strong>, которые являются специалистами во всех правовых отраслях и аспектах.
Любой житель Московской области может получить <strong>бесплатную консультацию юриста</strong>, без всякого рода договоров или обязательств. По желанию клиента, лучшие юристы будут вести Ваше дело, и сопровождать его на всех этапах. Обратитесь к нам!
Для получения бесплатных юридических консультаций, свяжитесь с нами через сайт или по телефону. Консультации юристов проходят онлайн или лично. Помните, никаких обязательств, это
абсолютно бесплатно!



<a href=https://dedovsk.consultinga.net>
услуги адвоката в Дедовске</a>
consukting
2020-11-13 01:55
Возникла необходимость в срочной юридической помощи или консультации? Мы поможем решить любую неординарную ситуацию или проблему в юридических вопросах. Для этого просто оставьте свое заявление на нашем сайте по указанной форме или позвоните по нижеописанным номерам. Наша команда это сплоченный коллектив из первоклассных <strong>юристов Московской области</strong>, которые являются специалистами во всех правовых отраслях и аспектах.
Любой житель Московской области может получить <strong>бесплатную консультацию юриста</strong>, без всякого рода договоров или обязательств. По желанию клиента, лучшие юристы будут вести Ваше дело, и сопровождать его на всех этапах. Обратитесь к нам!
Для получения бесплатных юридических консультаций, свяжитесь с нами через сайт или по телефону. Консультации юристов проходят онлайн или лично. Помните, никаких обязательств, это
абсолютно бесплатно!



<a href=https://solnechnogorsk.consultinga.net>
бесплатная юридическая консультация в Солнечногорске</a>
qworkwebs
2020-11-02 03:26
Желание подработать онлайн в интернете стало одним из самых популярных видов заработка. Ведение блогов, создание сайтов, групп в популярных социальных сетях-всё это приносит деньги только тем, кто обучился и знает, как это работает и как на этом заработать.

Что же делать тем, у кого есть желание, но не хочется погружаться в мир монетизации сайтов и таргетированной рекламы? Выход есть, можно заработать в интернете на комментариях, отзывах, лайках и репостах. Достаточно потратить всего час свободного времени, чтобы высказать своё мнение, написать отзыв о товаре. Возможно, проявится интерес к фотографиям и красивым картинкам, которым, сочетая полезное с приятным, будут поставлены заслуженные лайки.

Это очень простой и вместе с тем интересный вид заработка, который не только расширяет кругозор, но и позволяет сделать на этом деньги. Многие, зная о такой работе, бояться с ней сталкиваться, и кроме этого, отговаривают от этого занятия других. Однако, те, кто всё-таки попробовал онлайн заработок на комментариях, отзывах, лайках и репостов, знают, что удобнее и надежнее работы не найти.

Всего пара часов в день онлайн за компьютером, способны принести дополнительный приработок к основной зарплате, о чём можно только мечтать.

<a href=https://qwork.website/>
интернет заработок
</a>
https://qwork.website/
prestnent
2020-10-28 17:22
<a href=http://giraftravel.getbb.ru/memberlist.php?mode=viewprofile&u=4562>
Индивидуалки Архангельска</a>

http://bosova-gdz.ru/index.php?subaction=userinfo&user=onoxicy
prastitatb
2020-10-26 17:06
https://gkh.dvinaland.ru/forum/messages/forum57/topic6012/message12912/?result=new#message12912
newstheday
2020-10-17 02:10
Explore the largest platform of lifestyle, fashion, entertainment news for women!

<a href=https://thedailymagazines.com/>
norfolk daily news</a>
https://thedailymagazines.com/
miparnio
2020-10-09 13:55
Почивать от дел и также упиваться просматриванием фоточек с оголенными и очень жаркими девушками по душе абсолютно всем без исключения. Здесь мы скопили на web-сайте ф в наилучшем качестве, которые предоставят возможность улицезреть личные привлекательности безумных милых актрис. Это прекрасные блонды и еще брюнетки, именно они не упускают возможности демонстрировать клевые титьки  и еще упругие задницы. Необычайные соблазнительницы раздвигают в стороны свои ноги, с целью представить гладко побритые либо же волосяные киски. Обычно подобные девушки склонны выставить на всеобщее рассмотрение заметно большее.

Совсем юные и конечно же взрослые девки совершенно абсолютно не знают абсолютно ни какой разумной границы. Они конечно имеют все шансы отсасывать члены понравившихся парней прямо на любой улице. Эти милашки впихивают пенисы в наибольшей степени широко в рот, а после с наслаждением принимают аппетитную сперму. Темноволосые и белобрысые модели снимают трусики рядом с фотокамерой в интересах того чтобы попихаться в ароматные промежности и еще упругие аналы. Вот такой фото материал заводит нимало никак не меньше чем, например, порно видео. Удостовериться в этом деле вы сможете прямо в тот же миг. Зарубежное а так же  представит вам лично, что такое действительный безудержный оргазм. И не пропустите удобный случай настигнуть реальный кайф и передернуть свой пенис.

Вы можете в произвольное годящееся мгновение вкушать радость чувствительной порнографией и жесткой еблей. Мы смогли собрать фотки, которые удовлетворят разные пожелания. Хорошенькие куколки отнюдь не лишь оголяются перед фотокамерой. Эти девушки всегда готовы быть участником в наиболее этих оргиях. Эти нимфоманки могут обрабатывать по множеству огромных елдаков. От двойного проникновения в довольно-таки распяленные щели девушки получат наиболее небывалые струйные оргазмы. Крупным планом заметно, как из вибрирующих пещерок выбиваются струи влаги.
Очень интересно смотреть за великолепными представительницами нестандартной половой ориентации.  с лесби каждый раз обладают популярностью для молодых людей. Зажигательные сучки предпочитают облизывать мягкие дырочки, а не посасывать жилистые пенисы. Такие хныкающие потаскушки всегда добиваются невиданного удовольствия. Для того чтобы увеличить чувства телки частенько пользуются вибраторами и дилдо.

Обеспеченные суки модельной обличием позируют, напротив дальше и конечно совсем приступают активно мастурбировать родные деликатные пещерки. Зеленые принцессы нежат выступающие половые губочки ручками, однако спелые девушки энергично засовывают прямо в письки немалые дилдо. От заднеприводного или вагиного мастурбирования нимфоманки могут поймать немыслимое воздаяние. И вовсе, подобные девушки подготовлены к довольно неустрашимым извращениям. Они не стараются ослабляться и конечно различными средствами стремятся  добиться чудных оргазмов. Просматривать   и еще без применения регистрации на сервисе, понятное дело, любо-дорого каждый раз.
Только вскройте каждую категорию, и конечно вы лично теперь уже часами не сможете восстать со собственного местечка. Представленный онлайн-проект может выполнить разнообразные любовные мечтания. Оголенные негритянки, маленькие азиатки, знойные шатенки и закрытые брюнетки  прекрасно знают, каким образом молниеносно возбудить любого современного мужчину. Все подобные нимфоманки являлись пробуждены эксклюзивно ради того момента, затем чтобы творить приятное мужчинам. Все мы постараемся постоянно пополнять  на нашем web-сайте. Лично вы постоянно отыскать что либо свежее и аналогично всегда теплое. Эксклюзивные бонусные фотки размещены многим полнолетним наблюдателям. Добавьте сайт в закладки вашего интернет браузера и далее тогда лично вы истинно совершенно не утеряете его и поэтому в силах подрочить в любое время дня рабочего дня и конечно ночи.

https://goldpornx.net
[url]
https://mypornlaboratory.com[/url]
miparnio
2020-10-09 02:43
Почивать от трудов и также восторгаться зрелищем картинок с голыми и конечно крайне горячими сучками нравится абсолютно всем без исключения. Мы скопили на web-сайте ф в хорошем качестве, именно они дают удобный случай лицезреть интимные красоты интересных несносных актрис. Это такие обалденные блонды и конечно брюнетки, те что не упускают возможности демонстрировать нехилые буфера  а так же подтянутые попки. Невероятные искусительницы раздвигают в обе стороны ноги, с целью изобразить гладко выбритые или наоборот лохматые промежности. Частенько эти самые милые создания смогут показать на общее рассмотрение заметно немало.

Молодые а также опытные дамочки абсолютно не видят абсолютно ни какой разумной границы. Они конечно умеют пососать приборы понравившихся юношей прямиком на публике. Все эти милочки впихивают члены предельно широко в ротики, а следом с усладой отведывают вкусную сперму. Темноволосые и белокурые девушки снимают трусишки перед фотокамерой в целях того чтобы потрахаться в ароматные щелки а так же тугие анусы. Такой фото материал заводит ничуть абсолютно не меньше нежели видео. Удостовериться в этом деле вы лично сможете прямо в данный момент. Заграничное и  изобразит вам, что такое настоящий безудержный оргазм. Не упустите случай словить настоящий кайф и вздрочнуть свой фаллос.

Вы всегда сможете в произвольное оптимальное мгновение упиваться чувствительной порнографией и грубой еблей. Здесь мы подобрали фоточки, те которые удоволят все требования. Хорошенькие куклы вовсе не в основном раздеваются пред фотокамерой. Эти девушки могут брать участие в самых настоящих групповухах. Истинные нимфоманки умеют ублажать по множеству очень больших членов. От двойного проникновения в до предела увеличенные щели девушки приобретают наиболее небывалые струйные оргазмы. Вблизи видим, как из вибрирующих дырочек вылетают струи влаги.
Весьма любопытно смотреть за распрекрасными представительницами своеобразной сексуальной ориентации.  с лесбиянками вечно обладают славой для мужчин. Зажигательные девушки желают облизывать нежные щелочки, а не брать за щеку мощные члены. Подобные стонающие потаскушки неизменно достигают неслыханного наслаждения. В целях того для того чтобы приумножить ощущения телки часто пользуются вибраторами и дилдо.

Элегантные девки модельной обличием выеживаются, а вот затем и вконец приступают боевито мастурбировать родные теплые пещерки. Юные царевны нежат выступающие сексуальные губки ручками, однако возмужалые самки динамично толкают непосредственно в письки немалые фалоимитаторы. От анального и дополнительно вагиного фистинга нимфоманки имеют способность застигнуть неописуемое настроение. Да и вообще, эти давалки подготовлены к очень смелым извращениям. Все они не стараются удерживаться и еще разными средствами пытаются  достигнуть дивных оргазмов. Посмотреть   и еще совсем без регистрации на веб-сайте, понятное дело, любо-дорого постоянно.
Всего лишь вскройте каждую категорию, и конечно лично вы теперь уже в течении долгого времени не сможете восстать со собственного местечка. Данный портал может воплотить различные эротические мечты. Голые женщины, малые девчули, горячие шатенки и аналогично скрытые рыжули  очень хорошо знают, как мгновенно заполучить произвольного мужчину. Абсолютно все эти нимфоманки являлись порождены исключительно в целях того, для того чтобы выполнять приятное мужчинам. Все мы стремимся постоянно обновлять  на web-сайте. Вы лично всякий раз найдете что-то новационное и конечно постоянно теплое. Эксклюзивные бонусные галереи размещены большинству взрослым зрителям. Добавьте источник в закладки вашего интернет браузера и конечно следовательно вы непременно в точности не затеряете его и поэтому можете заняться мастурбацией в произвольное свое время суток и ночи.

https://sexdomashka.com
[url]
https://sexymiss18.com[/url]
topcazinos
2020-10-05 07:00
Чтобы удачно начать играть в казино для деньги с выводом, любителям азарта стоит внимательно отнестись к выбору подходящей виртуальной машины. Свою безграничную щедрость посетителям виртуального клуба неумолчно демонстрируют игровые автоматы с дополнительными раундами и призовыми играми. Они представлены либо интересным заданием, которое геймеру предстоит выполнить на дополнительном экране, либо серией бесплатных спинов, запускаемой символом Разброса. Вовсю неоднократно во сезон фриспинов любители азарта получают реальные казна с выводом сообразно увеличенным коэффициентам. Помимо того, многие производители игрового софта разыгрывают максимальные суммы джекпотов именно во пора свободных вращений барабанов.Не менее интересной ради игрока будет и призовая игра. Такие бонусы предусматривают действие геймером интересного задания на дополнительном экране, оформленном в полном соответствии с сюжетной линией виртуальной машины. Чтобы получить дополнительные монеты, посетителю игорного заведения нуждаться будет выполнить определенные задания, в часть числе и исполнять гармонический выбор одного из нескольких вариантов. Разве он окажется неудачным, бонусный раунд автоматически прекращается, а безвыездно выплаты, которые он позволил получить, весь аннулируются.
<a href=https://topcasinos.pro/>
рейтинг сайтов казино</a>
https://topcasinos.pro/
topcazinos
2020-10-05 01:41
Чтобы удачно начать шалить в казино на финансы с выводом, любителям азарта стоит внимательно отнестись к выбору подходящей виртуальной машины. Свою безграничную щедрость посетителям виртуального клуба неумолчно демонстрируют игровые автоматы с дополнительными раундами и призовыми играми. Они представлены либо интересным заданием, которое геймеру предстоит выполнить для дополнительном экране, либо серией бесплатных спинов, запускаемой символом Разброса. Очень почасту во время фриспинов любители азарта получают реальные мелочь с выводом сообразно увеличенным коэффициентам. Опричь того, многие производители игрового софта разыгрывают максимальные суммы джекпотов именно во пора свободных вращений барабанов.Не менее интересной для игрока довольно и призовая игра. Такие бонусы предусматривают выполнение геймером интересного задания на дополнительном экране, оформленном в полном соответствии с сюжетной линией виртуальной машины. Дабы получить дополнительные монеты, посетителю игорного заведения надо довольно выполнить определенные задания, в том числе и исполнять безупречный сортировка одного из нескольких вариантов. Если он окажется неудачным, бонусный раунд автоматически прекращается, а постоянно выплаты, которые он позволил получить, полностью аннулируются.
<a href=https://topcasinos.pro/>
top online казино</a>
https://topcasinos.pro/
gambleinf
2020-10-04 20:34
Для удачно начать играть в казино для деньги с выводом, любителям азарта стоит внимательно отнестись к выбору подходящей виртуальной машины. Свою безграничную щедрость посетителям виртуального клуба неизменно демонстрируют игровые автоматы с дополнительными раундами и призовыми играми. Они представлены либо интересным заданием, которое геймеру предстоит выполнить для дополнительном экране, либо серией бесплатных спинов, запускаемой символом Разброса. Вовсю неоднократно во эра фриспинов любители азарта получают реальные казна с выводом сообразно увеличенным коэффициентам. Кроме того, некоторый производители игрового софта разыгрывают максимальные суммы джекпотов именно во век свободных вращений барабанов.Не менее интересной чтобы игрока будет и призовая игра. Такие бонусы предусматривают выполнение геймером интересного задания на дополнительном экране, оформленном в полном соответствии с сюжетной линией виртуальной машины. Чтобы получить дополнительные монеты, посетителю игорного заведения надо довольно выполнить определенные задания, в том числе и исполнять безошибочный подбор одного из нескольких вариантов. Когда он окажется неудачным, бонусный раунд автоматически прекращается, а все выплаты, которые он позволил получить, весь аннулируются.
<a href=https://gambleinfo.site/>
топ рейтинг онлайн казино</a>
https://gambleinfo.site/
hadsapace
2020-10-02 03:39
«Гидра» выполняет роль посредника между продавцами и покупателями. Помимо наркотиков, на площадке можно купить поддельные купюры, хакерские услуги, фальшивые документы и другие запрещенные товары. За этот год площадка заработала 1,4 млрд рублей.



<a href=https://hydraofficial.space>
вот например</a>

https://hydraofficial.space

发表评论:

Powered by emlog