एक वास्तविक विंडोज सबसिस्टम (csrss.exe) प्रक्रिया प्राप्त करना

इस लेख में मैं आपको दिखाऊंगा कि विंडोज सबसिस्टम की वास्तविक प्रक्रिया का पता कैसे लगाया जाए, यह उपयोगी है, उदाहरण के लिए, जब आप सक्रिय प्रक्रियाओं की सूची प्राप्त करने की कोशिश करते हैं (ध्यान दें, केवल प्रक्रियाएं जो विंडोज सबसिस्टम में काम करती हैं, वे इस तरह से पाई जा सकती हैं, लेकिन विंडोज सबसिस्टम के अलावा सबसिस्टम भी हैं। POSIX और OS / 2, जो, एक कह सकता है, अब समर्थित नहीं हैं), CSR_PROCESS संरचनाओं की सूची, जिनमें से एक सूची CSRSS की प्रक्रिया में है। CSRSS प्रक्रिया को खोजने का सबसे आसान तरीका PsActiveProcessHead (यह दोहरी लिंक्ड सूची के शीर्ष पर एक संकेतक है जो किसी भी EPROCESS संरचना में पाया जा सकता है) का उपयोग करता है और पहली प्रक्रिया " csrss..exe " के लिए खोज करता है, ठीक है, क्योंकि यह फ़ंक्शन मुख्य रूप से IPD / एंटी में उपयोग किया जाता है। -Rootkit मॉड्यूल, तो यह एल्गोरिथ्म अविश्वसनीय है (वास्तव में, यह किसी भी स्थिति में अविश्वसनीय है)। उदाहरण के लिए, एक रूटकिट प्रक्रियाओं की सूची ( DKOM का उपयोग करके ) को संशोधित कर सकता है और पता लगाने से बच सकता है। इसलिए, मैं आपको एक बेहतर विकल्प दिखाना चाहता हूं।

सिस्टम बूट के दौरान, कई आरंभीकरण कार्यों के बीच, CSRSS प्रक्रिया शुरू करने के बाद, CSRSS ApiPort नामक एक ALPC पोर्ट भी बनाता है, जिसके साथ CSRSS अपने API को लागू करता है। ApiPort पोर्ट बनाने के तुरंत बाद, CSRSS एक CsrApiRequestThread थ्रेड बनाता है , जो तब NtAlpcSendWaitReceivePort को कॉल करता है और पोर्ट पर प्रतीक्षा करने के लिए एक पैरामीटर के रूप में पोर्ट हैंडल को हैंडल करता है (क्लाइंट से बातचीत करने के लिए)।


जैसा कि आप चित्र में देख सकते हैं, ApiPort \ Windows ऑब्जेक्ट डायरेक्टरी के अंतर्गत स्थित है। चूंकि प्रत्येक बाद के सत्र के लिए एक नई CSRSS प्रक्रिया बनाई जाती है, इसलिए प्रत्येक सत्र के लिए ApiPort पहले से ही \ Session \ N \ Windows निर्देशिका में बनाया जाएगा।
ALPC मॉडल विकसित करते समय विशिष्ट आर्किटेक्चर निर्णयों में से एक, यह था कि केवल सर्वर पोर्ट (सर्वर पोर्ट) बनाने की प्रक्रिया ही इसे संभाल सकती है और, स्वाभाविक रूप से, इसे NtCreatePort कॉल करके प्राप्त करता है। इसलिए, ApiPort पर एक खुला विवरणक है एकमात्र प्रक्रिया CSRSS है ।

इन सभी चर्चाओं के बाद, आप एक वास्तविक CSRSS प्रक्रिया की पहचान करने के लिए सामान्य चरणों का वर्णन कर सकते हैं।
1. किसी तरह एक ApiPort ऑब्जेक्ट मिलता है।
2. एक प्रक्रिया है कि बंदरगाह के लिए एक खुला संभाल है।

कदम 1।

जैसा कि मैंने पहले ही उल्लेख किया है, ALOpenObjectByName प्रक्रिया ALPC सर्वर पोर्ट के लिए काम नहीं करेगी (यह ध्यान देने योग्य है कि अन्य सभी प्रकार के पोर्ट बेकार हैं)। यदि आप ALPC सर्वर पोर्ट के साथ ObOpenObjectByName का उपयोग करने का प्रयास करते हैं, तो आपको त्रुटि कोड STATUS_NOT_IMPLEMENTED मिलेगा। लेकिन वास्तव में एक फ़ंक्शन है जो हमारी मदद कर सकता है: ObReferenceObjectByName इस फ़ंक्शन को प्रलेखित नहीं किया गया है, यहां इसका प्रोटोटाइप है:

NTKERNELAPI NTSTATUS ObReferenceObjectByName( __in PUNICODE_STRING ObjectName, __in ULONG Attributes, __in_opt PACCESS_STATE AccessState, __in_opt ACCESS_MASK DesiredAccess, __in POBJECT_TYPE ObjectType, __in KPROCESSOR_MODE AccessMode, __inout_opt PVOID ParseContext, __out PVOID *Object ); 

जाहिर है, अंतिम पैरामीटर को ऑब्जेक्ट का पता मिलता है।
ApiPort ऑब्जेक्ट प्राप्त करने के लिए नमूना कोड:

 UNICODE_STRING apiport; PVOID pApiPort; NTSTATUS ret; RtlInitUnicodeString(&apiport,L"\\Windows\\ApiPort"); ret = ObReferenceObjectByName(&apiport,0,0,GENERIC_READ,*LpcPortObjectType,KernelMode,NULL,&pApiPort); DbgPrint("ObOpenObjectByName returned: %x\nOBJECT: %p",ret,pApiPort); if(!NT_SUCCESS(ret)) { //cleanup and exit } //Do some work.... ObDereferenceObject(pApiPort); 

नोट!
LpcPortObjectType , LpcWaitablePortObjectType , AlpcPortObjectType - वे सभी एक ही OBJECT_TYPE संरचना की ओर इंगित करते हैं, इसलिए यह कोई फर्क नहीं पड़ता कि कौन सा उपयोग करना है

कदम २।
दूसरे चरण में हमें क्या करना है यह समझने के लिए, पहले हमें ऑब्जेक्ट मैनेजर के अध्ययन में थोड़ा गोता लगाने की आवश्यकता है।
ऑब्जेक्ट मैनेजर द्वारा बनाई गई प्रत्येक वस्तु में निम्नलिखित संरचना होती है:


ऑब्जेक्ट हेडर (OBJECT_HEADERS) "ऑब्जेक्ट वैकल्पिक हेडर" और "ऑब्जेक्ट हेडर" से मिलकर बनता है। ऑब्जेक्ट हेडर ऑब्जेक्ट ऑप्शनल हेडर के तुरंत बाद स्थित है।

1.Object हैडर _OBJECT_HEADER संरचना द्वारा दर्शाया गया है।
2. अतिरिक्त वस्तु शीर्षकों को निम्नलिखित संरचनाओं द्वारा दर्शाया गया है:
_OBJECT_HEADER_CREATOR_INFO ,
_OBJECT_HEADER_NAME_INFO ,
_OBJECT_HEADER_HANDLE_INFO ,
_OBJECT_HEADER_QUOTA_INFO ,
_OBJECT_HEADER_PROCESS_INFO ।

यह निर्धारित करने के लिए कि कौन से अतिरिक्त हेडर मौजूद हैं, _OBJECT_HEADER-> InfoMask संरचना क्षेत्र का उपयोग करें। सामान्य तौर पर, InfoMask एक बिटमास्क है जहां बिट्स अतिरिक्त हेडर की उपस्थिति का पता लगाते हैं।

0x1 _OBJECT_HEADER_CREATOR_INFO
0x2 _OBJECT_HEADER_NAME_INFO
0x4 _OBJECT_HEADER_HANDLE_INFO
0x8 _OBJECT_HEADER_QUOTA_INFO
0x10 _OBJECT_HEADER_PROCESS_INFO

InfoMask का उपयोग ObpInfoMaskToOffset के सरणी (निर्यात नहीं) में ऑफ़सेट की गणना करने के लिए भी किया जाता है, जिसका उपयोग ऑब्जेक्ट बॉडी की शुरुआत के सापेक्ष वांछित अतिरिक्त हेडर की ऑफ़सेट प्राप्त करने के लिए किया जाता है। ऑफसेट गणना एल्गोरिथ्म का अनुकरण करने वाला कोड निम्नानुसार है:

 /******/ BYTE HeaderOffset = ObpInfoMaskToOffset[_OBJECT_HEADER->InfoMask & (HeaderBit | (HeaderBit-1))]. /******/ 

इसके अलावा, अतिरिक्त हेडर दिखाए गए अनुसार कड़ाई से व्यवस्थित किए जाते हैं।


यह समस्या यह है कि ObpInfoMaskToOffset का निर्यात नहीं किया गया है, जिसका अर्थ है कि हमें या तो पैटर्न खोज का उपयोग करके इसे प्राप्त करने की आवश्यकता है या हम ऑफसेट की गणना के लिए अपने स्वयं के कार्य को लागू कर सकते हैं, हमारे पास पहले से मौजूद ज्ञान के आधार पर (3 और तरीके हैं: हमारे अपने सरणी को लागू करें ObpInfoMaskToOffset )।

मैंने दूसरा तरीका चुना।

 enum OBJ_HEADER_INFO_FLAG { HeaderCreatorInfoFlag = 0x1, HeaderNameInfoFlag = 0x2, HeaderHandleInfoFlag= 0x4, HeaderQuotaInfoFlag= 0x8, HeaderProcessInfoFlag= 0x10 }; BYTE GetObjectHeaderOffset( BYTE InfoMask,OBJ_HEADER_INFO_FLAG Flag) { BYTE OffsetMask,HeaderOffset=0; if( (InfoMask & Flag) == 0 ) return 0; OffsetMask = InfoMask & ( Flag | (Flag - 1) ); if((OffsetMask & HeaderCreatorInfoFlag) != 0) HeaderOffset += (BYTE)sizeof(OBJECT_HEADER_CREATOR_INFO); if((OffsetMask & HeaderNameInfoFlag) != 0) HeaderOffset += (BYTE)sizeof(OBJECT_HEADER_NAME_INFO); if((OffsetMask & HeaderHandleInfoFlag) != 0) HeaderOffset += (BYTE)sizeof(OBJECT_HEADER_HANDLE_INFO); if((OffsetMask & HeaderQuotaInfoFlag) != 0) HeaderOffset += (BYTE)sizeof(OBJECT_HEADER_QUOTA_INFO); if((OffsetMask & HeaderProcessInfoFlag) != 0) HeaderOffset += (BYTE)sizeof(OBJECT_HEADER_PROCESS_INFO); return HeaderOffset; } POBJECT_HEADER_HANDLE_INFO GetObjectHeaderHandleInfo(POBJECT_HEADER pObjHeader) { //DbgPrint("->GetObjectHeaderHandleInfo pObjHeader: %p",pObjHeader); BYTE HeaderOffset = GetObjectHeaderOffset(pObjHeader->InfoMask,HeaderHandleInfoFlag); if(HeaderOffset == 0) return NULL; //DbgPrint("->GetObjectHeaderHandleInfo HeaderOffset: %d",HeaderOffset); return (POBJECT_HEADER_HANDLE_INFO)((ULONGLONG)pObjHeader-(ULONGLONG)HeaderOffset); } 

जैसा कि आप देख सकते हैं, मैंने GetObjectHeaderHandleInfo () भी लागू किया है , यह संकेत देना चाहिए कि हमें _OBJECT_HEADER_HANDLE_INFO संरचना की आवश्यकता है जो इस तरह दिखता है:

 typedef struct _OBJECT_HANDLE_COUNT_ENTRY // 3 elements, 0x10 bytes (sizeof) { /*0x000*/ PEPROCESS Process; struct // 2 elements, 0x4 bytes (sizeof) { /*0x008*/ ULONG32 HandleCount : 24; // 0 BitPosition /*0x008*/ ULONG32 LockCount : 8; // 24 BitPosition }; ULONG32 Reserved; }OBJECT_HANDLE_COUNT_ENTRY, *POBJECT_HANDLE_COUNT_ENTRY; typedef struct _OBJECT_HANDLE_COUNT_DATABASE // 2 elements, 0x18 bytes (sizeof) { /*0x000*/ ULONG32 CountEntries; /*0x004*/ UINT8 Reserved[0x4]; /*0x008*/ struct _OBJECT_HANDLE_COUNT_ENTRY HandleCountEntries[1]; }OBJECT_HANDLE_COUNT_DATABASE, *POBJECT_HANDLE_COUNT_DATABASE; typedef struct _OBJECT_HEADER_HANDLE_INFO // 2 elements, 0x10 bytes (sizeof) { union // 2 elements, 0x10 bytes (sizeof) { /*0x000*/ struct _OBJECT_HANDLE_COUNT_DATABASE* HandleCountDataBase; /*0x000*/ struct _OBJECT_HANDLE_COUNT_ENTRY SingleEntry; // 3 elements, 0x10 bytes (sizeof) }; }OBJECT_HEADER_HANDLE_INFO, *POBJECT_HEADER_HANDLE_INFO; 

_OBJECT_HEADER_HANDLE_INFO में एक तत्व शामिल है, जो संघ है, और संघ में दो फ़ील्ड शामिल हैं HandleCountDataBase , SingleEntry (_OBJECT_HEADER-> ध्वज का उपयोग करने के लिए कौन सा फ़ील्ड है)। विशेष रूप से, OB_FLAG_SINGLE_HANDLE_ENTRY (0x40) ध्वज निर्धारित करता है कि आपको SingleEntry फ़ील्ड का उपयोग करने की आवश्यकता है, और अन्य मामलों में, HandleCountDataBase (एक नियम के रूप में, HandleCountDataBase का उपयोग हमेशा ALPC पोर्ट ऑब्जेक्ट्स के लिए, HandCountDataBase के लिए किया जाता है), HandCountDataBase का उपयोग करें। ) और दूसरा तत्व हमेशा शून्य होता है।

तो यहाँ कोड का अंतिम भाग है:

  UNICODE_STRING apiport; POBJECT_HEADER pApiPortHeader; POBJECT_HEADER_HANDLE_INFO pHandleInfo; PVOID pApiPort; NTSTATUS ret; PEPROCESS procCSRSS; RtlInitUnicodeString(&apiport,L"\\Windows\\ApiPort"); ret = ObReferenceObjectByName(&apiport,0,0,GENERIC_READ,*LpcPortObjectType,KernelMode,NULL,&pApiPort); DbgPrint("ObOpenObjectByName returned: %x\nOBJECT: %p \nIndex: %d",ret,pApiPort,(*LpcPortObjectType)->Index); if(!NT_SUCCESS(ret)) DbgPrint("Can not reference ApiPort: %x",ret); /*Get the object header form object pointer ---------OBJECT_HEADER--------- | | | | | | /0x30/_________________________ | QUAD(OBJECT) | ............................... */ pApiPortHeader = OBJECT_TO_OBJECT_HEADER(pApiPort); pHandleInfo = GetObjectHeaderHandleInfo(pApiPortHeader); DbgPrint("Handle Info:%p\nOBject:%p\nSIZEOF:%d",pHandleInfo,pApiPortHeader,sizeof(OBJECT_HEADER_NAME_INFO)); if(pHandleInfo != NULL) { if(pApiPortHeader->Flags & OB_FLAG_SINGLE_HANDLE_ENTRY) procCSRSS = pHandleInfo->SingleEntry.Process; else procCSRSS = pHandleInfo->HandleCountDataBase->HandleCountEntries[0].Process; DbgPrint("CSRSS: %p",procCSRSS); } else { DbgPrint("Can not obtain Handle Info Header for ApiPort"); } ObDereferenceObject(pApiPort); 

ऑब्जेक्ट और ऑब्जेक्ट हेडर्स के साथ यह सब उपद्रव को कम किया जा सकता है, बस क्षेत्र ALPC_PORT-> OwnerProcess का उपयोग करते हुए, (हम सूचक को ObReferenceObjectByName से ALPC_PORT को प्राप्त करते हैं), बस इस लेख को लिखने के समय, मुझे उन प्रक्रियाओं की एक सूची प्राप्त करने की ज़रूरत है जो ऑब्जेक्ट के लिए खुले हैंडल हैं। मैं ALPC_PORT की संरचना पर विस्तार से देखने के लिए परेशान था, हालांकि, कृपया मुझे गुर्दे में मत मारो, क्योंकि मेरा मानना ​​है कि ऑब्जेक्ट एंड ऑब्जेक्ट हेडर्स के बारे में सामग्री अभी भी उपयोगी थी।

वह सब है!

लिंक
विंडोज 7 ऑब्जेक्ट हेडर