एंटी-हुकिंग - सिद्धांत

हाल ही में, मुझे इंटरसेप्टिंग सिस्टम एपी से अनुप्रयोगों के संरक्षण से हैरान था, मैंने जो भी आया उसे साझा करने और चर्चा करने का फैसला किया। आप में से बहुत से लोग जानते हैं कि इंटरसेप्टिंग सिस्टम एपीआई मूल फ़ंक्शन को सही स्थान पर पुनर्निर्देशित करने के लिए नीचे आता है, इसके लिए आप फ़ंक्शन के मापदंडों को संशोधित कर सकते हैं, मूल से अलग परिणाम लौटा सकते हैं, मापदंडों के साथ मूल कॉल को स्टोर कर सकते हैं और बहुत कुछ। चूंकि यह एक सैद्धांतिक हिस्सा है, लेख में उदाहरण छद्मकोड के साथ होंगे।

निम्नलिखित अवरोधन विधियों का आमतौर पर उपयोग किया जाता है:

1. फ़ंक्शन स्थान पर बिना शर्त कूद डालें (x86 - 5 बाइट्स jmp addr, x64 - 12 बाइट्स, मूव रैक्स एड्र, jmp rax)
2. मूल फ़ंक्शन कॉल के स्थान पर कॉल स्टेटमेंट को सम्मिलित करना (hooked_function_entry: call my_function)
3. एप्लिकेशन आयात तालिका में संशोधन, प्रॉक्सी DLL का कार्यान्वयन।
4. हार्डवेयर ब्रेकप्वाइंट का उपयोग करके कोड को संशोधित किए बिना अवरोधन।
5. Zw / Nt फ़ंक्शन के कर्नेल ड्राइवर के माध्यम से अवरोधन।

Usermode से अवरोधन का पता लगाने के लिए निम्नलिखित विधियाँ सूचीबद्ध की जा सकती हैं:
1. मशीन के निर्देशों के ऑपकोड के साथ कॉल करने से पहले एक फ़ंक्शन की शुरुआत की तुलना:

//0x90 - nop //0xE9 - jmp //0xE8 - call if (*mainFunc == 0xE9 || *mainFunc == 0x90 || *mainFunc == 0xE8 ...) printf("Hook detected"); 

विधि स्थिर है और अधिक बुद्धिमान संक्रमण के साथ आसानी से तिरस्कृत है।
2. अवरोधन के उपरोक्त तरीके स्मृति का एक संशोधन है, और उन्हें crc चेकसम चेक के माध्यम से पता लगाया जा सकता है, लेकिन मेमोरी पढ़ने के लिए एपीआई को भी इंटरसेप्ट किया जा सकता है और फिर एक गलत परिणाम वापस आ जाएगा।
3. महत्वपूर्ण एपी की बहाली के साथ एक नियंत्रित प्रक्रिया (स्वयं की सक्रिय डिबगिंग के साथ) उत्पन्न करें।
4. सिस्टम पुस्तकालयों में निर्यात तालिका का उपयोग करते हुए, हमारे लिए महत्वपूर्ण एफ़ी की गणना करते हुए, मूल एक के साथ असंतुष्ट फ़ंक्शन लंबाई की तुलना करें।
5. लाइब्रेरी से बाइट्स कॉपी करके संशोधित एपी को बहाल करना, एक उदाहरण योजना इस प्रकार है:
- एक विशिष्ट मॉड्यूल का आधार प्राप्त करना
- निर्यात पुनरावृत्ति
- आवश्यक कार्य के आरवीए प्राप्त करना।
- रूपांतरण RVA-> फ़ाइलऑफ़सेट।
- मूल पढ़ने और स्मृति के लिए लेखन।
- कुछ मामलों में, रील के बारे में मत भूलना।
6. लाइब्रेरी आयात तालिका देखें और, किसी अन्य सिस्टम लाइब्रेरी से प्रत्येक आयातित फ़ंक्शन के लिए, एक अनुपालन चेक करें, यदि यह मेल नहीं खाता है, तो इसे डिस्क से पढ़ें और मेमोरी में लिखें।
7. syscalls, int2e (विंडोज़ के पुराने संस्करण) का उपयोग करके Nt / Zw के सिस्टम फ़ंक्शंस का सिमुलेशन, सभी सिस्टम के लिए syscall तालिका Google में आसानी से मिल जाती है।

आइए हम 7 वीं विधि पर ध्यान दें क्योंकि Nt / Zw फ़ंक्शंस को भी इंटरसेप्ट किया जा सकता है, यह विधि भी एकदम सही है, लेकिन मेरी राय में यह उपरोक्त सभी में से सबसे अच्छा है।
आइए विंडोज 7 sp1 में NtCreateFile फ़ंक्शन के कार्यान्वयन को देखें



निम्नलिखित होता है:
- बाज में संख्या syscall-a है।
- एक्स्टेंशन रीसेट करें, (wow64 index?)।
- edx में पैरामीटर के लिए एक पॉइंटर होता है।
- आगे कॉल, स्टैक समायोजन और वापसी।

win7 और win8 में x64 कॉल


निम्नलिखित x86 छद्म कोड का उपयोग करके "आप डिस्क पर एक फ़ाइल बना सकते हैं।"

 //  NtCreateFile typedef NTSTATUS (NTAPI * NTCREATEFILE) (OUT PHANDLE FileHandle, IN ACCESS_MASK DesiredAccess, IN POBJECT_ATTRIBUTES ObjectAttributes, OUT PIO_STATUS_BLOCK IoStatusBlock, IN PLARGE_INTEGER AllocationSize OPTIONAL, IN ULONG FileAttributes, IN ULONG ShareAccess, IN ULONG CreateDisposition, IN ULONG CreateOptions, IN PVOID EaBuffer OPTIONAL, IN ULONG EaLength); #define InitializeObjectAttributes( p, n, a, r, s ) { \ (p)->Length = sizeof( OBJECT_ATTRIBUTES ); \ (p)->RootDirectory = r; \ (p)->Attributes = a; \ (p)->ObjectName = n; \ (p)->SecurityDescriptor = s; \ (p)->SecurityQualityOfService = NULL; \ } typedef VOID (NTAPI * RTLINITUNICODESTRING)(IN OUT PUNICODE_STRING, IN PCWSTR); unsigned char dNtCreateFile[] = {0xb8,0x52,0x00,0x00,0x00,0x33,0xc9,0x8d,0x54,0x24,0x04,0x64, 0xff,0x15,0xc0,0x00,0x00,0x00,0x83,0xc4,0x04,0xc2,0x2c,0x00}; ... RtlInitUnicodeString InitializeObjectAttributes ... DWORD oldp; VirtualProtect(&dNtCreateFile, sizeof(dNtCreateFile), PAGE_EXECUTE_READ, &oldp); auto func = (NTCREATEFILE) ((void*)dNtCreateFile); Ntstatus = (func)(&fileHandle, DesiredAccess, ObjectAttritubes, ioStatusBlock, 0, FileAttributes, ShareAccess, CreateDisposition ,CreateOptions, Optional_Buffer, 0); 

यह छद्म कोड केवल विंडोज़ 7 sp1 पर काम करेगा, हालाँकि, dNtCreateFile को बिंदु 5 से विधि का उपयोग करके "गतिशील रूप से" उत्पन्न किया जा सकता है, और फिर मामूली बदलाव वाला कोड winxp से शुरू होने वाले सभी प्रणालियों पर काम करेगा। टिप्पणियों में किसी भी विचार का स्वागत है, कर्नेलमोड एक चरम मामला है।