[note]RegMon驱动分析笔记(一)

///
// 
// RegMon学习与分析
// 
//

//
//
// 1.注册表回调机制
//
/

应用程序通过调用NtNotifyChangeKey或NtNotifyChangeMuptipleKeys系统服务,
可以监视一个或多个注册表创建,删除和修改动作.(ring3 api 对应的是RegNotifyChangeKey)

类似的进程和线程监视的话,可以使用PsSetCreateProcessNotifyRoutine()和
PsSetCreateThreadNotifyRoutine(),这两个函数可以通过向系统注册一个
CALLBALCK 函数来监视进程/线程等操作.
(具体实现可以参考sinister的<<编写进程\线程监视器>>)

注册表的回调机制是在Windows xp中引入的.但是RegMon在Windows xp上运行时,它使用的是SSDT hook.
因为Windows xp的回调机制并没有报告所有的注册表活动.

///
//
// 2.RegMon驱动分析
//
///
RegMon驱动主要是通过SSDT hook,hook了那些与注册表操作相关的系统服务函数.
Hook了以下函数:
@ NtCreateKey()
@ NtDeleteKey()
@ NtEnumerateKey()
@ NtEnumerateValueKey()
@ NtFlushKey()
@ NtLoadKey()
@ NtOpenKey()
@ NtQueryKey()
@ NtQueryValueKey()
@ NtUnloadKey()
@ NtSetValueKey()
@ NtCloseKey()
要实现注册表的监控就必须hook掉这些函数.(当然也可以hook更底层的,比如Cmxxxx系列的.)

RegMon内部机理如下:
// 1. 应用程序执行与注册表有关的系统服务调用,就会调用上述那些与注册表相关的函数.
// 2. 而这些函数已经被Regmon.sys hook掉了,那么应用程序对注册表的操作,就能被RegMon捕获.

//
//
// 下面的分析有点混乱,权当笔记看..
//
/

//---------------------------------
// 1.DriverEntry()
//---------------------------------
// segment 1
// RTL_QUERY_REGISTRY_TABLE 结构定义如下:
typedef struct _RTL_QUERY_REGISTRY_TABLE {
    PRTL_QUERY_REGISTRY_ROUTINE QueryRoutine;
    ULONG Flags;
    PWSTR Name;
    PVOID EntryContext;
    ULONG DefaultType;
    PVOID DefaultData;
    ULONG DefaultLength;

} RTL_QUERY_REGISTRY_TABLE, *PRTL_QUERY_REGISTRY_TABLE;

RTL_QUERY_REGISTRY_TABLE paramTable[2];

RtlQueryRegistryValues( RTL_REGISTRY_ABSOLUTE,
                            registryPath.Buffer, ¶mTable[0],
                            NULL, NULL  );

// RTL_QUERY_REGISTRY_TABLE paramTable[2];
// 是一个RTL_QUERY_REGISTRY_TABLE结构的数组。
// 每个成员都包含一个Name名称项和一些其他值。
// 因为要求这种数组必须以一个“空数组”结束。
// 所以空数组就是说Name为空和QueryRoutine为空。

// The RtlQueryRegistryValues()allows the caller to
// query several values from the registry subtree with a single call.

// segment 2

1. IoCreateDevice() 创建device
2. IoCreateSymbolicLink() 创建符号链接symbolicLink
3. 设置分发函数RegmonDispatch;
4. DriverObject->DriverUnload = RegmonUnload;
5. 初始化几个KMutex,和rootkey lengths
6. 获得一个指向SSDT表的指针KeServiceTablePointers
 关于RegmonMapServiceTable()这个函数,后续奉上.
7. 获得"System"进程的NameOffset..GetProcessNameOffset(),暂时不知道用来干嘛..
8. FullPathLookaside指向一个Loskaside内存..估计是用来保存注册表路径的~
9. RegmonUpdageFilters();---后面分析
10.HookRegistry(),hook上述与注册表相关的系统服务函数.

//----------------------------------------------
// 2. HookRegistry()和UnHookRegistry()函数分析
//------------------------------------------------
"HookRegistry()的功能是实现函数的hook,主要是通过"
"SYSCALL_INDEX()宏和HOOK_SYSCALL()宏实现的"

"UnHookRegistry()是实现函数钩子的卸载,即unhook,通过
"SYSCALL_INDEX()宏和UNHOOK_SYSCALL()宏实现的"

SYSCALL_INDEX宏采用Zw*函数地址并返回它在SSDT中相应的索引号.
#define SYSCALL_INDEX(_Function) *(PULONG)((PUCHAR)_Function+1)
"实现原理:内核中所有Zw*函数都以操作码 mov eax,ULONG,起始其中ULONG是
"系统调用在SSDT的索引号.通过将该函数的第二字节看作ULONG类型,这些宏能够得到该
"函数的索引号."

HOOK_SYSCALL和UNHOOK_SYSCALL采用被钩住的Zw*函数的地址,获取其索引号,并自动将
SSDT中该索引的相应地址与_HOOK函数地址进行交换.

/
//
// HookRegXXXX()函数的实现
//

//---------------------------------------------------
// 1. NtOpenKey() 和 HookRegOpenKey()
//---------------------------------------------------
NTSTATUS
  ZwOpenKey(
    OUT PHANDLE  KeyHandle,
    IN ACCESS_MASK  DesiredAccess,
    IN POBJECT_ATTRIBUTES  ObjectAttributes
    );
NtOpenKey()实现的是打开一个存在的Registry Key,并返回它的一个句柄hKey;

由于Regmon实现的功能是获得操作注册表应用程序的相关信息.
故必须从ObjectAttributes中获得..所以HookRegOpenKey()实现的功能
也就是过滤ObjectAttributes,从中获得相关信息,传送到内存缓冲区,最后传递给
RegMon GUI程序.显示出来. 然后也会调用原始的NtOpenKey()函数.

NTSTATUS
NTAPI
HookRegOpenKey(
    IN OUT PHANDLE pHandle,
    IN ACCESS_MASK ReqAccess,
    IN POBJECT_ATTRIBUTES pOpenInfo
    )
// GetFullName()获得一个key值的全路径,返回在fullname中.
GetFullName( pOpenInfo->RootDirectory, pOpenInfo->ObjectName, fullname );
// 调用原始的NtOpenKey()函数;
ntstatus = RealRegOpenKey( pHandle, ReqAccess, pOpenInfo );
//后续有一些关于hash table 的,暂时放下~
@ RegmonFreeHashEntry()  // 从 hash table 移除
@ RegmonLogHash()   // 加进hash table 中
@ LogRecord()    // 输出类似信息
//"System:4 OpenKey HKLM\Software\Primax\Mouse Suite 98\Productivity Utility
// NOTFOUND"

//---------------------------------------------------
// 2. NtCreateKey() 和 HookRegCreateKey()
//---------------------------------------------------
实现方式和上面介绍的HookRegOpenKey()是一致的.这里就不赘述了.

//---------------------------------------------------
// 3. NtCloseKey() 和 HookRegCloseKey()
//---------------------------------------------------
由于NtCloseKey()值接受一个参数hKey,所以在
HookRegCloseKey()中需要使用原始的NtQueryKey()函数.
来获取更多关于该hKey的信息.传入给NtQueryKey()的是KEY_BASIC_INFORMATION

//--------------------------------------------------
// 4.  HookRegFlushKey()
//  5.  HookRegDeleteKey()
// 6.  HookRegDeleteValueKey()
// 7.  HookRegSetValueKey()
// 8.  HookRegEnumerateKey()
// 9.  HookRegQueryKey()
// 10.  HookRegSetValueKey()
//   .......
//--------------------------------------------------
这些函数实现方式与上面介绍的,大同小异,基本一致.
需要注意的几个函数是:
@ AppendRegValueData()  // 获取更多关于RegValue的信息.
@ AppendKeyInformation() // 获取更多关于Key的信息

//-------------------------------------------------
//

 

转载于:https://www.cnblogs.com/Tbit/archive/2010/11/12/1876126.html