fuck all the "time protected" Software(1)
置顶：在家装DDK死活装不上,装vc 6.0也出错,256的小内存跑啊跑;作罢,一个月内不能编译驱动
心情：想哭...
主题：
探讨修改系统时间(R0)，anti所有的安全软件(eg: 360TimeProt.sys, Micropoint,antiarp.sys...)
正文：
<一>
关于修改系统时间不是突发奇想的,之前好多病毒木马都是把时间调到很久以前来使部分安全软件过期(eg 卡巴,微点),用的伎俩不过是调用R3的几个API,或者直接来个bat,改改注册表之类的...
所以很多安全软件意识到这点.先出手的便是360安全卫士,不过大致看来也就是HOOK SSDT中的ZwSetSystemTime,只要能恢复SSDT(若能顺利加载驱动,恢复就简单啦.若在R3,想获得系统高2GB的地址访问权限是越来越难咯,好多HIPS都封的死死的; 当然不排除利用重启的时间加载驱动,或者感染Win32k.sys、利用第3方软件的漏洞提升权限...晕,偏题了
),也就破除了它的屏障. 对于微点这样有个KTIMER的就需要投递APC了...
不过恢复SDT毕竟不是最好的办法,所以我们绕过SDT,自己实现ZwSetSystemTime,甚至KeSetSyetemTime,这样就可以修改时间了(但最终是系统在R0不断改变SharedUserData 这个区域里面的系统时间.我们也可以直接修改这个R0、R3共享区来达到修改锁定时间的目的;或者直接写进CMOS).
btw：关于360TimeProt.sys,已有好多大牛逆出了源码,原理很简单,给个链接科普:
http://www.debugman.com/read.php?tid=770
------------------------------------------------------------------------------------------------
<二>
关于ZwSetSystemTime的执行流程,偶还是简单的说下吧,虽然笔记记了一大堆,但又不能直接copy出来,还得慢慢打...
NTSTATUS
NTAPI
NtSetSystemTime(
IN PLARGE_INTEGER SystemTime, // 需要设置的时间
OUT PLARGE_INTEGER PreviousTime OPTIONAL // 保存以前的时间
)
/*++
调用ExGetPreviousMode得到当前的PreviousMode,检查其是R0 or R3.
if(PreviousMode != KernelMode) {...}但不管是哪个,目的都是把传进来的SystemTime赋予给一个LARGE_INTEGER 局部变量 NewSystemTime(只不过R3下需要进一步的安全检测,保证传进来的参数在R0中可读,传出去的参数在R0中可写,用到ProbeForReadLargeInteger、ProbeForWriteLargeInteger)－－＞接下来的一步很关键,调用SeSinglePrivilegeCheck函数来检查当前用户是否有权限修改系统时间(参见WRK和IDA; Windbg出来的见下)－－＞ 转化时间并set it in HAL,调用3个函数:ExSystemTimeToLocalTime、RtlTimeToTimeFields、HalSetRealTimeClock－－＞最后调用KeSetSystemTime来设置系统时间,若传进来的PreviousTime有效,则把旧的时间装在它里面,返回status
--*/
/*
lkd> u 808a1f7e l 45
nt!SeSinglePrivilegeCheck:
808a1f7e 8bff mov edi,edi ; 偶就修改了这开头5字节的内容
808a1f80 55 push ebp ; 太容易被查出来咯; 不过可以自己再
808a1f81 8bec mov ebp,esp ; 深入深入~
808a1f83 83ec24 sub esp,24h
808a1f86 8365ec00 and dword ptr [ebp-14h],0
808a1f8a 33c0 xor eax,eax
808a1f8c 40 inc eax
808a1f8d 8945dc mov dword ptr [ebp-24h],eax
808a1f90 8945e0 mov dword ptr [ebp-20h],eax
808a1f93 8b4508 mov eax,dword ptr [ebp+8]
808a1f96 8945e4 mov dword ptr [ebp-1Ch],eax
808a1f99 8b450c mov eax,dword ptr [ebp+0Ch]
808a1f9c 8945e8 mov dword ptr [ebp-18h],eax
808a1f9f 8d45f0 lea eax,[ebp-10h]
808a1fa2 50 push eax
808a1fa3 e84cbdffff call nt!SeCaptureSubjectContext (8089dcf4)
808a1fa8 ff7510 push dword ptr [ebp+10h]
808a1fab 8d45f0 lea eax,[ebp-10h]
808a1fae 50 push eax
808a1faf 8d45dc lea eax,[ebp-24h]
808a1fb2 50 push eax
808a1fb3 e8a0bcffff call nt!SePrivilegeCheck (8089dc58)
...
*/
而我这里的思路是关注SeSinglePrivilegeCheck,在它里面实现inline hook来拒绝其他进程修改系统时间. 注意看WRK
BOOLEAN STDCALL
SeSinglePrivilegeCheck (
IN LUID PrivilegeValue,
IN KPROCESSOR_MODE PreviousMode
)
全局变量SeSystemtimePrivilege从LARGE_INTEGER转化为LUID后作为其参数,我们只要在自己的函数中判断它就可以达到效果啦.
对于KeSetSystemTime,它主要是修改0xffdf0000区域:
/* Set the new system time */
SharedUserData->SystemTime.LowPart = NewTime->LowPart;
SharedUserData->SystemTime.High1Time = NewTime->HighPart;
SharedUserData->SystemTime.High2Time = NewTime->HighPart;
然后Update system boot time
/* Calculate the difference between the new and the old time */
DeltaTime.QuadPart = NewTime->QuadPart - OldTime->QuadPart;
KeBootTime.QuadPart += DeltaTime.QuadPart;
KeBootTimeBias = KeBootTimeBias + DeltaTime.QuadPart;
