在ring0调用Ring3的代码

做者:VXK/CVC.GB
时间:2005-02-05
每次上driverdevelop总看到有人问怎么在Ring0下调用Ring3的代码——
Ring3使用Ring0已是地球人全知道的事情了，可是ring0下使用ring3的代码
恐怕不多有人知道,Ratter和Benny这两个高人以及Elzc的做者Elzcor各自提出
过一种方法。总结起来就是三种方法，Zombie在2004年也提出过一个方法看起
来像是Ratter和Elzcor的方法结合而成~
固然说其本质都是一种思想把ring3代码搞到ring3的空间去执行，听起来
你们也好像有所明白了吧，Benny的方法是在Ring0的向Ring3进程插入代码执行，
Ratter则是Hook KAPIZ等待用户层调用发生把ring3代码放回Ring3空间，利用
KeUserModeCallBack来执行，Elzcor则是本身创建一个进程把代码内存感染到
进程执行。Zombie取两家之长搞的~。
今天我来向你们介绍的更像是Ratter和Benny的方法结合，对于Benny的方法，
我不彻底采用，我采用的思想仍然是代码放回Ring3空间~
首先不管如何咱们都要有一个进程~
习习~Windows提供强大的kernel函数帮咱们虐待用户~
PsSetCreateProcessNotifyRoutine摄定好NotifyRoutine在建立进程时咱们就
能够yy进程了~
经过DDK文档MSDN的大叔的帮助，这个函数
PsSetCreateProcessNotifyRoutine有两个参数
返回值是NTSTATUS型，第一个参数是回调函数NotifyRoutine,第二个参数是Bool型的
若是第二个参数为False表示设定NotifyRoutine,为True就是取消~
NotifyRoutine的形式以下
NotifyRoutine proc dwParentId:DWORD, dwProcessId:DWORD, bCreate:BOOL
这样咱们就能够得到一个进程了~~xixi~~
咱们的NotifyRoutine只处理dwProcessId和dwProcessId,对bCreate不用理，经过使用ps
函数PsLookupProcessByProcessId获得PEPROCESS结构(得不到结构的不处理),再取进程Name
若是是Explore且插入标识无就开始咱们的插入~(选Explore的缘由我就不用说了吧？)
插入时我采用Ratter的方法，因而乎就要用KeAttachProcess，Attach到进程而后开始
工做~~呵呵~~
插完了就用回调CallBackUserMode~~而后DetachProcess...
KeUserModeCallBack的参数
NTSTATUS KeUserModeCallback (
IN ULONG ApiNumber,
IN PVOID InputBuffer,
IN ULONG InputLength,
OUT PVOID *OutputBuffer,
IN PULONG OutputLength
)
可能看不出来怎么使它返回UserMode执行任意代码，可是若是你看看win2ksrc/private/ntos/ke/i386/
下的callback.c和callout.asm就会发现世界真奇妙~~~竟然KiCallUserMode回调的是~~~~~xixi~~~~
我不说了，你们应该本身研究一下吧~
另外我提一下参数传递的问题，这里使用KeUserModeCallBack必需要用有效的InputBuffer和OutputBuffer
当KeUserModeCallBack发生时，调用咱们的Ring3代码参数传入的方式好像是PUSH进来的
KiCallUserMode中回调USER的时KiServiceExit回自动的飞向咱们的代码~
相似发生下面的事情~
(
;这些代码并不是真的在KiCallUserMode里存在~
;只是我我的的猜想，由于softice跟到最后处处是[ebx+xxx],[esi+xxx]这样的东西~
;实在难说~作后使用jmp _KiServiceExit返回ring3的代码更是头大~
;不过度析的说多是栈传入参数~
;若是看ntos/ke/i386/下的分析，估计会更头大~它的栈传递和stack变换等等搞的很晕~~
;不过能够确定的说，就是已经到了ring3了，咱们本身作个检测不就好了？
;hehe~具体究竟是怎么传递的呢？你们作个检测吧，我不说了~
;正确的函数传递方式：Kernel是怎么运行咱们的函数的~
push Outlength
push lpOutBuffer
push Inlength
push lpInBuffer
push API_NUMBER
call KeUserCallBackDispatch
KeUserCallBackDispatch:
add esp,4
pop edx ;edx=Api_Number
mov eax,fs:[PcTeb]
mov eax,[eax].TebPeb
mov eax,[eax].PebKernelCallbackTable
call [eax+edx*4] ;Real Call To [EAX+EDX*4],hehe~~
;咱们计算的api_number被还原了~~~xixi~~~下面的代码里有那个计算~~呵呵~~

)

虽然是这样的，可是我仍是劝各位不要用KeUserModeCallBack来传递参数给咱们的Ring3代码，要传递也应
该使用其它方法——好比Ratter把参数Copy到Ring3代码后面，而后再代码里重定位到地方取参数~
返回参数EAX是KeUserModeCallBack的，于是要想要返回参数就要传递outsize为strlen(lpoutbuf)就好了~~
若是非要传递，应该当心一些~由于可能蓝屏~我也不知道为何~呵呵~

我还有一种方法就是覆盖KeUserCallbackDispatcher为咱们Ring3代码的地址----大多数状况下会蓝，而后
用KeUserModeCallBack执行，这样咱们就能够经过一个常见systemcall_number来执行咱们代码，另外经过分析ntos/ps/psinit.c
我发现KeUserCallbackDispathcer就是NTDLL里的KiUserCallbackDispatcher~~~习习~~~
那样避免蓝屏要用在进程空间改写KiUserCallBackDispatch和插入代码~
内核空间改写的话，要指向内核地址，ring3代码要插入内核的NTDLL空间中~
记得不论在哪里改写都要最后调用原函数~~~！！！！！！！！！~~~~
......(这种方法是我最z发现的阿阿----实际上是听erx大哥讲的一个思路~)
再多说就成了教唆犯罪了~

在ring0调用Ring3的代码的续
 
  利用创建新的APC方法回调代码——原创者不详~
  这种方法通常应用用户层和内核驱动之间有交互——KeUserModeCallBack的是插入回调，
  Infect是感染进程~
  可是创建新APC的方法更温柔一些，呵呵~~
所用到的函数是两个undoc的函数，具体的原始形态实在是简单——感谢Open Source Windows~~~

VOID
KeInitializeApc (
   IN PRKAPC Apc,//咱们要本身初始化这个OurApc=ExAllocatePool(NonPagedPool, sizeof(struct _KAPC));
   IN PRKTHREAD Thread,//目标线程——用户层交互的话，直接KeGetCurrentThread()好了
   IN KAPC_ENVIRONMENT Environment,//应该添0，就是CurrentApcEnvironment
   IN PKKERNEL_ROUTINE KernelRoutine,//咱们的APC处理函数MyApcRoutine,在APC_LEVEL上运行，很恐怖的高级,kernel mode apc!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
   IN PKRUNDOWN_ROUTINE RundownRoutine OPTIONAL,//添NULL，
   IN PKNORMAL_ROUTINE NormalRoutine OPTIONAL,//添入咱们的ring3层的Ring3App代码线性地址,实际上是user mode 的APC处理Routine，~~~privalige很是吓人~~~
   IN KPROCESSOR_MODE ApcMode OPTIONAL,//1,使用NormRoutine
   IN PVOID NormalContext OPTIONAL//第一个参数~~~咱们ring3层代码的，习习
   )

完成APC初始化后，咱们要插入咱们的APC了
BOOLEAN
KeInsertQueueApc (
   IN PRKAPC Apc,//OurApc
   IN PVOID SystemArgument1,//Ring3App的第二个参数arg2
   IN PVOID SystemArgument2,//Ring3App的第三个参数arg3
   IN KPRIORITY Increment//0
   )

Ring3层代码的样子：：    
void Ring3App(ulong arg1,ulong arg2,ulong arg3);

咱们在kernel mode 的APC
//咱们也能够在这作点什么，不过APC_LEVEL这个高级别东西，咱们最好仍是不要作什么大动做~
void MyApcRoutine(struct _KAPC *Apc,//Apc结构不说了吧？
              PKNORMAL_ROUTINE norm_routine,//咱们的Ring3App地址
              void *context,//arg1
              void *SysArg1,//arg2
              void *SysArg2)//arg3
{
   ExFreePool(Apc);
   return;
}

总体的思想的代码：
//in kernel mode
PKAPC OurApc;
void SendApc(ulong addr,ulong arg1,ulong arg2,ulong arg3)
{
     PKTHREAD thread=KeGetCurrentThread();
    OurApc=ExAllocatePool(NonPagedPool, sizeof(struct _KAPC));

   KeInitializeApc(OurApc, thread, 0,       (PKKERNEL_ROUTINE)&MyApcRoutine, 0,    (PKNORMAL_ROUTINE)addr, 1, (PVOID)arg1);    KeInsertQueueApc(OurApc, (PVOID)arg2, (PVOID)arg3, 0);    *((unsigned char *)thread+0x4a)=1;//这句代码强制线程发生APC调用~    //kthread+0x4a的地方是KTHREAD->ApcState(kthread+0x34)->UserApcPending(ApcState+0x16)~~~    //xixi~~~    return ; } //in user mode void Ring3App(ulong arg1,ulong arg2,ulong arg3) { .... }     void SendQp(..) {  ....  SendBuf = BuildUpIrp(IRP_XXX_YYYY);  SendBuf->BackAddr=(ULONG)Ring3App;  ....  ReturnBuf = SendIrp(hDevice,SendBuf,sizeof(SendBuf));  ....  ....