麦洛克菲内核驱动开发第七课.ppt

麦洛克菲内核开发第七课注册表callback和重定向 麦洛克菲 程君 麦洛克菲 Callback提纲 Callback相关函数Callback原理Callback实现功能 注册表重定向提纲 注册表的构成注册表调用 Callback相关函数 NTSTATUSCmRegisterCallback INPEX CALLBACK FUNCTIONFunction INPVOIDContext OUTPLARGE INTEGERCookie 时间 NTSTATUSCmRegisterCallbackEx INPEX CALLBACK FUNCTIONFunction INPCUNICODE STRINGAltitude INPVOIDDriver INPVOIDContext OUTPLARGE INTEGERCookie PVOIDReserved Vista以后使用 支持高度NTSTATUSCmUnRegisterCallback INLARGE INTEGERCookie Callback相关函数 CmSetCallbackObjectContext INOUTPVOIDObject INPLARGE INTEGERCookie INPVOIDNewContext OUTOPTIONALPVOID OldContext 主要用来在一个对象上设置相关的数据结构NTSTATUSCmCallbackGetKeyObjectID INPLARGE INTEGERCookie INPVOIDObject OUTOPTIONALPULONG PTRObjectID OUTOPTIONALPCUNICODE STRING ObjectName 主要用来在vista以后得到key的名字PVOIDCmGetBoundTransaction inPLARGE INTEGERCookie inPVOIDObject VOIDCmGetCallbackVersion OUTOPTIONALPULONGMajor OUTOPTIONALPULONGMinor Callback相关函数 EX CALLBACK FUNCTIONRegistryCallback NTSTATUSRegistryCallback inPVOIDCallbackContext in optPVOIDArgument1 REG NOTIFY CLASS in optPVOIDArgument2 KEY INFORMATION switch REG NOTIFY CLASS Argument1 caseRegNtPreDeleteKey returnHOOK PreNtDeleteKey PREG DELETE KEY INFORMATION Argument2 caseRegNtPreSetValueKey returnHOOK PreNtSetValueKey PREG SET VALUE KEY INFORMATION Argument2 caseRegNtPreDeleteValueKey returnHOOK PreNtDeleteValueKey PREG DELETE VALUE KEY INFORMATION Argument2 caseRegNtPreRenameKey returnHOOK PreNtRenameKey PREG RENAME KEY INFORMATION Argument2 caseRegNtPreCreateKeyEx returnHOOK PreNtCreateKeyEx PREG CREATE KEY INFORMATION Argument2 caseRegNtPreCreateKeyEx pre操作returnHOOK PreNtCreateKeyEx PREG CREATE KEY INFORMATION Argument2 caseRegNtPostCreateKeyEx post操作returnHOOK PostNtCreateKeyEx PRGG POST OPERATION INFORMATION Argument2 Callback相关函数 Pre操作REG XXX KEY INFORMATION根据调用的各个不同REG NOTIFY CLASS来决定POST操作typedefstruct REG POST OPERATION INFORMATION PVOIDObject pre操作后产生的对象NTSTATUSStatus pre完成后将要返回给系统的状态PVOIDPreInformation pre的类信息NTSTATUSReturnStatus 如果要作修改 将要返回的状态PVOIDCallContext PVOIDObjectContext 可以pre设置带到post里面来PVOIDReserved REG POST OPERATION INFORMATION PREG POST OPERATION INFORMATION 整体框架 NTSTATUSDriverEntry INPDRIVER OBJECTDriverObject INPUNICODE STRINGRegistryPath NTSTATUSntStatus ntStatus CmRegisterCallback MyRegistryCallback NULL NTSTATUSRegistryCallback inPVOIDCallbackContext in optPVOIDArgument1 REG NOTIFY CLASS in optPVOIDArgument2 KEY INFORMATION switch REG NOTIFY CLASS Argument1 caseRegNtPreDeleteKey returnHOOK PreNtDeleteKey PREG DELETE KEY INFORMATION Argument2 caseRegNtPreRenameKey returnHOOK PreNtRenameKey PREG RENAME KEY INFORMATION Argument2 caseRegNtPreCreateKeyEx pre操作returnHOOK PreNtCreateKeyEx PREG CREATE KEY INFORMATION Argument2 caseRegNtPostCreateKeyEx post操作returnHOOK PostNtCreateKeyEx PRGG POST OPERATION INFORMATION NTSTATUSHOOK PreNtDeleteKey PREG DELETE KEY INFORMATIONData NTSTATUSstatus 0 PUNICODE STRINGkeyName UNICODE STRINGuTarget returnSTATUS SUCCESS Callback实现的功能 Monitor主要用在系统工具上 procmon regmonBlock防御上 保护上等等ModifySandbox 虚拟化等等 Callback实现的功能 MonitorRegistryCallbackroutinereturnsSTATUS SUCCESSBlockRegistryCallbackroutineNT SUCCESS status equalsFALSE 这时候直接返回状态status给系统调用 如果注册了post操作的话 post操作将不会执行 Callback实现的功能 Modify1 修改REG xxx KEY INFORMATION结构里面的然后Callback函数返回STATUS SUCCESS2 修改REG POST OPERATION INFORMATION结构里的ReturnStatus 然后Callback函数返回STATUS CALLBACK BYPASS Callback设计核心思想 Window操作系统的设计核心消息分发 应用层分层 从应用到内核回调 也相当于分层 其实回调应该是设计的一种接口形式 Callback设计核心分层思想 Callback设计核心思想 ntOpenKey if isCallback returnregcalllist preOpen if isCallback returnregcalllist postOpen 1 在注册的时候把要注册的函数放到全局链表里2 在调用的时候 先判断是否注册 如果注册 调用函数 Callback原理 NTSTATUSCmRegisterCallback inPEX CALLBACK FUNCTIONFunction in optPVOIDContext outPLARGE INTEGERCookie PEX CALLBACK ROUTINE BLOCKRoutineBlock ULONGi PCM CALLBACK CONTEXT BLOCKCmCallbackContext PAGED CODE CmCallbackContext PCM CALLBACK CONTEXT BLOCK ExAllocatePoolWithTag PagedPool sizeof CM CALLBACK CONTEXT BLOCK bcMC if CmCallbackContext NULL returnSTATUS INSUFFICIENT RESOURCES RoutineBlock ExAllocateCallBack Function CmCallbackContext if RoutineBlock NULL ExFreePool CmCallbackContext returnSTATUS INSUFFICIENT RESOURCES initthecontextKeQuerySystemTime Callback原理 CmpCallBackVectorCmpCallBackCount defineCM MAX CALLBACKS100typedefstruct CM CALLBACK CONTEXT BLOCK LARGE INTEGERCookie toidentifyaspecificcallbackforderegistrationpurposesLIST ENTRYThreadListHead ActivethreadsinsidethiscallbackEX PUSH LOCKThreadListLock synchronizeaccesstotheabovePVOIDCallerContext CM CALLBACK CONTEXT BLOCK PCM CALLBACK CONTEXT BLOCK 注册的函数什么时间调用 Callback原理 注册的函数什么时间调用 1 CmpCallBackVector由谁调用 从wrk源码中我们可以看到 CmpCallBackVector由CmpCallBackVector调用 我们查找CmpCallBackVector发现共有14处调用 如图 Callback原理 注册的函数什么时间调用 2 CmpCallCallBacks由谁调用a NtOpenKey和NtCreateKey没有handle的时候 走CmpParseKeyb 有handle的时候直接调用NtDeleteKey CmpCallCallBacks Callback原理 注册的函数什么时间调用 1 NtOpenKey和NtCreateKeyCmpParseKeyNtOpenKey ObOpenObjectByName ObInsertObjectObReferenceObjectByName ObpLookupObjectName ParseProcedure Callback原理 注册的函数什么时间调用 2 CmpParseKeyPhase1Initialization Phase1InitializationDiscard CmInitSystem1 CmpCreateObjectTypes CmpParseKey CmpCallCallBacksRtlZeroMemory a 从上面可以看出 在创建keyobject类型的时候 注册key对象的ParseProcedure 从而把对象类型和具体的对象联系起来b 从CmpParseKey可知道 用CmAreCallbacksRegistered判断是否注册 Callback原理 注册的函数什么时间调用 CmpParseKey base ntos config if CmAreCallbacksRegistered REG CREATE KEY INFORMATIONPreCreateInfo PreCreateInfo CompleteName CompleteName PreCreateInfo RootObject ParseObject if ARGUMENT PRESENT lcontext NtCreateKey status CmpCallCallBacks RegNtPreCreateKeyEx Callback原理 注册的函数什么时间调用 练习 1 regmon2 特殊技能3 了解回调设计架构4 file的回调分析 注册表的构成 注册表的构成 注册表的类型 注册表与文件对应关系 注册表的调用关系 重定向方案 1 ntdllhook需要x64的hook引擎Sandboxie2 ring0hook callbackWin2003x32以下hookWin2003以上callback卡巴 AVAST3 cm等其他的一切对象替换 重定向方案