利用SEH進(jìn)入ring0以及單步自跟蹤的實(shí)現(xiàn)

只看該作者 · 發(fā)表于 2008-9-28 16:36:07

一、ring0!并不遙遠(yuǎn)...
   
   作為seh的一個(gè)有趣的應(yīng)用是進(jìn)入ring0,ring0意味著更多的權(quán)利,意味著你可以進(jìn)行一些其他ring3級(jí)應(yīng)用程序不能進(jìn)行的操作,譬如改自己的代碼段(在不修改段屬性的前提下),改系統(tǒng)數(shù)據(jù)(病毒?)等等,在9X下進(jìn)入ring0的方法很多,在NT下困難的多,SEH只是其中較簡(jiǎn)單的一種.打開(kāi)調(diào)試器看看系統(tǒng)kernel的工作狀態(tài),在9X下cs一般是28h,ds,ss等通常是30h,因此只要我們的cs和ss等在異常處理程序中被賦予上述ring0選擇子值,進(jìn)入ring0就可以實(shí)現(xiàn).可能我們需要執(zhí)行較復(fù)雜的操作,在ring0下一般不能直接調(diào)用常用api,當(dāng)然VxD,WDM等提供的系統(tǒng)服務(wù)是另外一種選擇. 否則,這在用下述簡(jiǎn)單方法進(jìn)入ring0后執(zhí)行會(huì)產(chǎn)生錯(cuò)誤,因此,我們?cè)趓ing0下盡快完成需要完成的任務(wù),然后迅速返回ring3.
在ring0下要完成如下任務(wù):
 
1.取CR3的值,返回ring3顯示.在ring3下不可以讀取cr3的值.你可以打開(kāi)kernel調(diào)試器看看例子程序取到的值是否正確.
2.修改代碼段后面的jmp ****代碼,這在通常情況下只會(huì)導(dǎo)致保護(hù)錯(cuò)誤.而在ring0下是可以的,就像在前面例子中用she實(shí)現(xiàn)SMC的效果是一樣的,最后顯示幾個(gè)MsgBox,證明我們?cè)?jīng)到達(dá)過(guò)ring0
 
這個(gè)例子是參考owl的那個(gè)nasm寫(xiě)的例子用masm改寫(xiě),并增加ring0下SMC的代碼部分以作演示.另外代碼中iretd指令并不是簡(jiǎn)單實(shí)現(xiàn)跳轉(zhuǎn),而是實(shí)現(xiàn)從ring0切回ring3的功能,在變換代碼特權(quán)級(jí)的同時(shí),堆棧的也要變換到ring3.可能原例子ljtt前輩的中文注釋容易引起初學(xué)者的誤解.
 
別的不說(shuō),我發(fā)現(xiàn)進(jìn)入ring0后修改代碼段可以使trw的跟蹤崩潰...hmmm,好消息?代碼如下:
其中用的一些宏在Ex5中已經(jīng)貼了,就不再重復(fù).
;-----------------------------------------
;Ex6,演示利用seh進(jìn)入ring0! by Hume,2002
;humewen@21cn.com 
;hume.longcity.net
;-----------------------------------------
.586
.model flat, stdcall
option casemap :none   ; case sensitive
include hd.h
include mac.h
 
;;--------------
ring0_xHandler       proto C :DWORD,:DWORD,:DWORD,:DWORD
        .data
szbuf   db 100 dup (0)
count   dd 0
;;-----------------------------------------
.CODE
_Start:
        assume fs:nothing
        push    offset ring0_xHandler
        push    fs:[0]
        mov     fs:[0],esp
        ;--------------------
        mov     ecx,ds
        test    ecx,100b
        jz      NT_2K_XP         ;NT/2K/XP has no LDT 
        pushfd
        mov     eax,esp
 
        int     3
        mov     ebx,cr3          ;現(xiàn)在,正式宣布,進(jìn)入ring0! 
                                 ;呵呵這樣簡(jiǎn)單就進(jìn)入ring0了,至于進(jìn)入
        push    ebx              ;ring0有啥用,不要問(wèn)我!
        lea     ebx,offset _modi  ;SMC
        mov     byte ptr[ebx],75h ;修改jmp addinfo為jnz addinfo指令
        pop     ebx
 
        push    edx                     ;ss
        push    eax                     ;esp
        push    dword ptr[eax]          ;eflags          
        push    ecx                     ;cs
        push    offset ring3back        ;eip
        iretd                           ;這里是通過(guò)iretd 指令返回特權(quán)級(jí)3
 
ring3back:
        popfd
        invoke    wsprintf,addr szbuf,ddd("It's in ring0,please see CR3==%08X",0dh,oah,"following display Modified info..."),ebx
        invoke    MessageBox,0,addr szbuf,ddd("Ring0! by Hume[AfO]"),40h  
        xor     eax,eax
        ;add     eax,2
        .data
        Nosmc db "Not modified area!",0
        besmc db "haha,I am modified by self in ring0!",0
        .code
        mov     ebx,offset Nosmc
        mov     eax,0
_modi:
        jmp     addinfo            ;SMC后將這里改為jnz addinfo 
 
        mov     ebx,offset besmc
        mov     eax,30h
addinfo:
        invoke    MessageBox,0,ebx,ddd("Rin0 SMC test"),eax
_exit:
        ;--------------------        
        pop     fs:[0]
        add     esp,4
        invoke    ExitProcess,0
 
NT_2K_XP:
        invoke    MessageBox,0,ddd("The example not support NT/2K/Xp,only 9x!"),ddd("By hume"),20h
        jmp     _exit
;-----------------------------------------
ring0_xHandler PROC C pExcept:DWORD,pFrame:DWORD,pContext:DWORD,pDispatch:DWORD
        pushad        
assume  edi:ptr CONTEXT
assume  esi:ptr EXCEPTION_RECORD
 
        mov     esi,pExcept
        mov     edi,pContext          
        test    dword ptr[esi+4],1              ;Exception flags
        jnz     @f        
        test    dword ptr[esi+4],6
        jnz     @f
        cmp    dword ptr[esi],80000003h        ;break ponit flag
        jnz     @f        
        
        m2m     [edi].regEcx,[edi].regCs        ;保存3級(jí)代碼段選擇子
        mov     [edi].regCs,28h                 ;0級(jí)代碼段選擇子
 
        m2m     [edi].regEdx,[edi].regSs        ;保存3級(jí)堆棧段選擇子
        mov     [edi].regSs,30h                 ;0級(jí)堆棧選擇子
 
        mov     dword ptr[esp+7*4],0
        popad         
        ret
@@:
        mov     dword ptr[esp+7*4],1
        popad    
        ret
ring0_xHandler ENDP
;-----------------------------------------
END    _Start
 
 由于在NT/2K/XP下這種進(jìn)入ring0的方法不能使用,所以首先區(qū)別系統(tǒng)版本,如果是NT/2K/XP則拒絕執(zhí)行, 原理是在NT/2K/XP下沒(méi)有LDT,因此測(cè)試選擇子是否指向LDT,這是一種簡(jiǎn)單的方法,但不推薦使用, 最好使用GetVersionEx...至于
         mov     dword ptr[esp+7*4],0
         popad         
 是返回eax=1的實(shí)現(xiàn)

賬號(hào)		自動(dòng)登錄	找回密碼
密碼			注冊(cè)

天天爱天天做天天做天天吃中文|久久综合给久合久久综合|亚洲视频一区二区三区|亚洲国产综合精品2022

利用SEH進(jìn)入ring0以及單步自跟蹤的實(shí)現(xiàn)