在ring0调用Ring3的代码

作者:VXK/CVC.GB 时间:2005-02-05 每次上driverdevelop总看到有人问怎么在Ring0下调用Ring3的代码—— Ring3使用Ring0已经是地球人全知道的事情了，但是ring0下使用ring3的代码 恐怕很少有人知道,Ratter和Benny这两个高人以及Elzc的作者Elzcor各自提出 过一种方法。总结起来就是三种方法，Zombie在2004年也提出过一个方法看起 来像是Ratter和Elzcor的方法结合而成~ 当然说其本质都是一种思想把ring3代码搞到ring3的空间去执行，听起来 大家也好像有所明白了吧，Benny的方法是在Ring0的向Ring3进程插入代码执行， Ratter则是Hook KAPIZ等待用户层调用发生把ring3代码放回Ring3空间，利用 KeUserModeCallBack来执行，Elzcor则是自己建立一个进程把代码内存感染到 进程执行。Zombie取两家之长搞的~。 今天我来向大家介绍的更像是Ratter和Benny的方法结合，对于Benny的方法， 我不完全采用，我采用的思想仍然是代码放回Ring3空间~ 首先无论如何我们都要有一个进程~ 习习~Windows提供强大的kernel函数帮我们虐待用户~ PsSetCreateProcessNotifyRoutine摄定好NotifyRoutine在创建进程时我们就 可以yy进程了~ 通过DDK文档MSDN的大叔的帮助，这个函数 PsSetCreateProcessNotifyRoutine有两个参数 返回值是NTSTATUS型，第一个参数是回调函数NotifyRoutine,第二个参数是Bool型的 如果第二个参数为False表示设定NotifyRoutine,为True就是取消~ NotifyRoutine的形式如下 NotifyRoutine proc dwParentId:DWORD, dwProcessId:DWORD, bCreate:BOOL 这样我们就可以获得一个进程了~~xixi~~ 我们的NotifyRoutine只处理dwProcessId和dwProcessId,对bCreate不用理，通过使用ps 函数PsLookupProcessByProcessId得到PEPROCESS结构(得不到结构的不处理),再取进程Name 如果是Explore且插入标识无就开始我们的插入~(选Explore的原因我就不用说了吧？) 插入时我采用Ratter的方法，于是乎就要用KeAttachProcess，Attach到进程然后开始 工作~~呵呵~~ 插完了就用回调CallBackUserMode~~然后DetachProcess... KeUserModeCallBack的参数 NTSTATUS KeUserModeCallback ( IN ULONG ApiNumber, IN PVOID InputBuffer, IN ULONG InputLength, OUT PVOID *OutputBuffer, IN PULONG OutputLength ) 可能看不出来怎么使它返回UserMode执行任意代码，但是如果你看看win2ksrc/private/ntos/ke/i386/ 下的callback.c和callout.asm就会发现世界真奇妙~~~居然KiCallUserMode回调的是~~~~~xixi~~~~ 我不说了，大家应该自己研究一下吧~ 另外我提一下参数传递的问题，这里使用KeUserModeCallBack必须要用有效的InputBuffer和OutputBuffer 当KeUserModeCallBack发生时，调用我们的Ring3代码参数传入的方式好像是PUSH进来的 KiCallUserMode中回调USER的时KiServiceExit回自动的飞向我们的代码~ 类似发生下面的事情~ ( ;这些代码并非真的在KiCallUserMode里存在~ ;只是我个人的猜测，因为softice跟到最后到处是[ebx+xxx],[esi+xxx]这样的东西~ ;实在难说~做后使用jmp _KiServiceExit返回ring3的代码更是头大~ ;不过分析的说可能是栈传入参数~ ;如果看ntos/ke/i386/下的分析，估计会更头大~它的栈传递和stack变换等等搞的很晕~~ ;不过可以肯定的说，就是已经到了ring3了，我们自己做个检测不就行了？ ;hehe~具体到底是怎么传递的呢？大家做个检测吧，我不说了~ ;正确的函数传递方式：Kernel是怎么运行我们的函数的~ push Outlength push lpOutBuffer push Inlength push lpInBuffer push API_NUMBER call KeUserCallBackDispatch KeUserCallBackDispatch: add esp,4 pop edx ;edx=Api_Number mov eax,fs:[PcTeb] mov eax,[eax].TebPeb mov eax,[eax].PebKernelCallbackTable call [eax+edx*4] ;Real Call To [EAX+EDX*4],hehe~~ ;我们计算的api_number被还原了~~~xixi~~~下面的代码里有那个计算~~呵呵~~

)

虽然是这样的，但是我还是劝各位不要用KeUserModeCallBack来传递参数给我们的Ring3代码，要传递也应 该使用其它方法——比如Ratter把参数Copy到Ring3代码后面，然后再代码里重定位到地方取参数~ 返回参数EAX是KeUserModeCallBack的，因而要想要返回参数就要传递outsize为strlen(lpoutbuf)就行了~~ 如果非要传递，应该小心一些~因为可能蓝屏~我也不知道为什么~呵呵~

我还有一种方法就是覆盖KeUserCallbackDispatcher为我们Ring3代码的地址----大多数情况下会蓝，然后 用KeUserModeCallBack执行，这样我们就可以通过一个常见systemcall_number来执行我们代码，另外通过分析ntos/ps/psinit.c 我发现KeUserCallbackDispathcer就是NTDLL里的KiUserCallbackDispatcher~~~习习~~~ 那样避免蓝屏要用在进程空间改写KiUserCallBackDispatch和插入代码~ 内核空间改写的话，要指向内核地址，ring3代码要插入内核的NTDLL空间中~ 记得不论在哪里改写都要最后调用原函数~~~！！！！！！！！！~~~~ ......(这种方法是我最z发现的阿阿----其实是听erx大哥讲的一个思路~) 再多说就成了教唆犯罪了~

在ring0调用Ring3的代码的续 利用建立新的APC方法回调代码——原创者不详~ 这种方法一般应用用户层和内核驱动之间有交互——KeUserModeCallBack的是插入回调， Infect是感染进程~ 但是建立新APC的方法更温柔一些，呵呵~~ 所用到的函数是两个undoc的函数，具体的原始形态实在是简单——感谢Open Source Windows~~~

VOID KeInitializeApc ( IN PRKAPC Apc,//我们要自己初始化这个OurApc=ExAllocatePool(NonPagedPool, sizeof(struct _KAPC)); IN PRKTHREAD Thread,//目标线程——用户层交互的话，直接KeGetCurrentThread()好了 IN KAPC_ENVIRONMENT Environment,//应该添0，就是CurrentApcEnvironment IN PKKERNEL_ROUTINE KernelRoutine,//我们的APC处理函数MyApcRoutine,在APC_LEVEL上运行，很恐怖的高级,kernel mode apc!!!!!!!!!!!!!!!!!!!!!!!!!!!!! IN PKRUNDOWN_ROUTINE RundownRoutine OPTIONAL,//添NULL， IN PKNORMAL_ROUTINE NormalRoutine OPTIONAL,//添入我们的ring3层的Ring3App代码线性地址,其实是user mode 的APC处理Routine，~~~privalige非常吓人~~~ IN KPROCESSOR_MODE ApcMode OPTIONAL,//1,使用NormRoutine IN PVOID NormalContext OPTIONAL//第一个参数~~~我们ring3层代码的，习习 )

完成APC初始化后，我们要插入我们的APC了 BOOLEAN KeInsertQueueApc ( IN PRKAPC Apc,//OurApc IN PVOID SystemArgument1,//Ring3App的第二个参数arg2 IN PVOID SystemArgument2,//Ring3App的第三个参数arg3 IN KPRIORITY Increment//0 )

Ring3层代码的样子：： void Ring3App(ulong arg1,ulong arg2,ulong arg3);

我们在kernel mode 的APC //我们也可以在这做点什么，不过APC_LEVEL这个高级别东西，我们最好还是不要做什么大动作~ void MyApcRoutine(struct _KAPC *Apc,//Apc结构不说了吧？ PKNORMAL_ROUTINE norm_routine,//我们的Ring3App地址 void *context,//arg1 void *SysArg1,//arg2 void *SysArg2)//arg3 { ExFreePool(Apc); return; }

整体的思想的代码： //in kernel mode PKAPC OurApc; void SendApc(ulong addr,ulong arg1,ulong arg2,ulong arg3) { PKTHREAD thread=KeGetCurrentThread(); OurApc=ExAllocatePool(NonPagedPool, sizeof(struct _KAPC));

KeInitializeApc(OurApc, thread, 0, (PKKERNEL_ROUTINE)&MyApcRoutine, 0, (PKNORMAL_ROUTINE)addr, 1, (PVOID)arg1); KeInsertQueueApc(OurApc, (PVOID)arg2, (PVOID)arg3, 0); *((unsigned char *)thread+0x4a)=1;//这句代码强制线程发生APC调用~ //kthread+0x4a的地方是KTHREAD->ApcState(kthread+0x34)->UserApcPending(ApcState+0x16)~~~ //xixi~~~ return ; } //in user mode void Ring3App(ulong arg1,ulong arg2,ulong arg3) { .... } void SendQp(..) { .... SendBuf = BuildUpIrp(IRP_XXX_YYYY); SendBuf->BackAddr=(ULONG)Ring3App; .... ReturnBuf = SendIrp(hDevice,SendBuf,sizeof(SendBuf)); .... ....