64位下Hook NtOpenProcess的实现进程保护 + 源码 (升级篇 )

64位下Hook NtOpenProcess的实现进程保护 + 源码 (升级篇 )

【PS: 如果在64位系统下，出现调用测试demo，返回false的情况下，请修改Hook Dll的代码】

glhHook = SetWindowsHookEx(WH_SHELL,ShellHookProc, 0  , 0); 
//改成跟X86下一样的
glhHook = SetWindowsHookEx(WH_SHELL,ShellHookProc,glhInstance, 0);

2013.09.11代码修改， 可以针对指定的进程进行保护( 编译DLL和测试DEMO的时候，请注意目标平台,X86还是X64）

=> 工程给出的是X86下的，X64请自行编译一份Hook dll然后改下名字在测试demo中调用 ，C#中队X86和X64的判断可以通过

Environment.Is64BitOperatingSystem

 

2013.09.11 HookNtOpenProcessLib Souces

---

 

在我的上一篇文章中【Hook技术】实现从"任务管理器"中保护进程不被关闭 + 附带源码 + 进程保护知识扩展 介绍了X86下基于IAT Hook技术，通过Hook OpenProcess来实现从任务管理器中保护进程,看到一些评论，有朋友问该代码是否适用于64位系统？ 答案是肯定的，需要修改两个地方:

a. 编译时候，设置平台为X64

b.修改SetWindowsHookEx第三个参数为0 （ps:该设置不是绝对的，如果你发现X64下该方法不成效，请尝试使用X86下的方法）,关于这点，是因为64为下和32为下调用SetWindowsHookEx略有不同，官方关于该函数的有一段解析为:

SetWindowsHookEx can be used to inject a DLL into another process. A 32-bit DLL cannot be injected into a 64-bit process, and a 64-bit DLL cannot be injected into a 32-bit process. If an application requires the use of hooks in other processes, it is required that a 32-bit application call SetWindowsHookEx to inject a 32-bit DLL into 32-bit processes, and a 64-bit application call SetWindowsHookEx to inject a 64-bit DLL into 64-bit processes. The 32-bit and 64-bit DLLs must have different names.

如果你希望在X64下通过HOOK技术实现进程的保护，不推荐Hook OpenProcess，可以考虑通过Hook Ntdll的函数(NtOpenProcess）实现，这也是楼主写此文的目的的，介绍通过MHook实现对NtOpenProcess的hook实现进程的保护.

---

 

1. Hook技术基础知识（Inline Hook)

   在开始本文的实例前想先通过对Hook技术做些简单的介绍，帮助大家更好的理解所谓的Hook技术，所谓的hook技术其实就是修改函数行为的一种技术，通过对函数行为的修改可以实现例如：文件的监控/保护 ， 进程的监控/隐藏等，例如大多数的安全软件都是基于这种技术实现的，还有些病毒木马技术也会涉及到hook技术。一般的hook函数的流程：

 { 目标API } ----- 【 Hook API 】 -------  修改函数入口前几个字节，添加跳转指令 类似JMP DWORD Ptr Address

                               \ 

                           { jump 我们的代码处 }  

                                |- a.  执行我们代码

                                |- b. 修复Hook

                                |- c. 调用目标API

                     

通过修改目标函数的前几个字节，然后跳转到我们的代码执行，等执行完我们定制的代码后，在调用真实的目标API返回结果给调用程序.

大多数的系统API，前几个字节都是对堆栈的操作，而hook技术就是利用了这几个字节实现jmp的，伪代码描述:

目标函数:

mov edi, edi          //              HOOK        Jmp DWORD PTR MyFunctionAddress    jump后      MyFunctionAddress内部逻辑处理
push ebp              //  堆栈操作 < ==========>   xor ecx ,exc                     <=========>   修复原函数堆栈操作 { mov edi,edi push ebp,...}
mov ebp, esp          //                                                                         跳到原函数执行JMP 【ADDRESS】
xor ecx, ecx   ==> 标记地址为【ADDRESS】

这是一种比较常用的HOOK思路，还有修改函数中部或者尾部的，思路相同，patch的位置不同

还有中Hook的思路是通过“跳板”函数实现，定制函数和目标函数之间的关系

{ Hook Api }

       \

      { Jump 定制函数 }

              \

         { jump Trampoline(跳板函数) }

                      \ ______ { Call  目标函数  }   ------ { 结果返回给调用程序 }

 

成功Hook函数后，跳转我们定制的函数中执行，当我们定制的代码执行完后，并不是在函数内部调用原目标函数，而是调用一个叫Trampoline的函数，Trampoline的任务就是平衡堆栈，然后执行原目标函数， 最后将结果返回给调用程序

例如:

        mov edi, edi                                 addr1  jmp customFunction ; //执行完地址的逻辑后，跳到调用Trampoline函数
        push ebp           < ==== JUMP ====>         addr2  xor ecx,ecx
        mov ebp, esp    
addr2   xor ecx, ecx


Trampoline函数：

mov edi, edi
push ebp             { 平衡堆栈 }
mov ebp, esp
jmp addr2     ===>  然后跳到原函数某地址执行

这种方法相对于第一种方式来说，安全了很多至少在多线程的环境下 ，一般trampoline跳转函数都是被标记为naked的，很多情况都是通过汇编实现，由自己编码控制堆栈。

---

 

2. 实战，X64下Hook NtOpenProcess

  本demo中使用的hook引擎是MHook，Mhook是开源的，采用的是第二种hook方式，相比于MinHook/easyHook来说，使用简单，只导出两个函数:

//安装Hook
//ppSystemFunction，原函数地址
//pHookFunction ，定制的函数地址
BOOL Mhook_SetHook(PVOID *ppSystemFunction, PVOID pHookFunction);

//卸载HOOK
//ppHookedFuntion.原函数地址
BOOL Mhook_Unhook(PVOID *ppHookedFunction);

a. 下载Mhook，新建一个win32 DLL工程,名称：HookNtOpenProcessLib

b. 声明NtOpenProcess函数和我们定制的Hook_NtOpenProcess

  View Code

//=========================================================
// struct CLIENT_ID
typedef struct _CLIENT_ID {
DWORD_PTR UniqueProcess;
DWORD_PTR UniqueThread;
} CLIENT_ID, *PCLIENT_ID;

//===========================================================
// NtOpenProcess
typedef ULONG (WINAPI *pfnNtOpenProcess)(
__out PHANDLE ProcessHandle,
__in ACCESS_MASK AccessMask ,
__in PVOID ObjectAttributes,
__in PCLIENT_ID ClientId);

pfnNtOpenProcess _NtOpenProcess = (pfnNtOpenProcess)GetProcAddress( GetModuleHandle(L"ntdll"),"NtOpenProcess");

定制的Hook_NtOpenProcess，设置进程句柄为NULL，保护所有进程，针对某个进程保护，请通过ProcesssHandler获取PID然后做比较

//===========================================================
//定制我们自己的NtOpenProcess
ULONG WINAPI Hook_pfnNtOpenProcess(
                   __out PHANDLE ProcessHandle,
                   __in ACCESS_MASK AccessMask ,
                   __in PVOID ObjectAttributes,
                   __in PCLIENT_ID ClientId){
    //ULONG result  = _NtOpenProcess( ProcessHandle,AccessMask,ObjectAttributes,ClientId);
    //DWORD pid = GetProcessIdByHandle( ProcessHandle);
    //通过进程句柄获取PID，然后验证
    //if(gProtectProcessID == pid ){
    //  return STATUS_ACCESS_DENIED;
    //}
    
    //return result;
    //===================================
    //简单处理，直接设置ProcessHandle，保护所有
    ProcessHandle = NULL;
    return  _NtOpenProcess( ProcessHandle, AccessMask,ObjectAttributes,ClientId);
}

c. 安装消息钩子，跟一篇博文一样，通过SetWindowsHookEx，只是在调用该函数时候需要注意区别下32位系统和64位系统情况，例如:

extern "C" __declspec(dllexport)  BOOL InstallHook(DWORD pid)
{    
    BOOL bResult=FALSE;
     //这里需要注意X86和X64下处理是不一样的
    #ifdef _M_IX86
          glhHook = SetWindowsHookEx(WH_SHELL,ShellHookProc,glhInstance, 0);
    #elif defined _M_X64
           glhHook = SetWindowsHookEx(WH_SHELL,ShellHookProc,0, 0);  //第三参数为0，而不是当前模块的实例句柄 
    #endif

    if(glhHook!=NULL)
    {
          gProtectProcessID = pid;
          bResult=TRUE;
    }    

    return bResult; 
}

d.C#调用HOOKNtOpenProcessLib.dll

  View Code

public partial class Form1 : Form {
public Form1() {
InitializeComponent();

this.Text = "=> HookNtOpenProcess <= ";

this.Load += new EventHandler(Form1_Load);
}

void Form1_Load(object sender, EventArgs e) {
Label lb = new Label{ Width = 200 , Height = 50 , ForeColor = System.Drawing.SystemColors.GrayText };
lb.Text = "By Andy, FZ " + Environment.NewLine + "专注于: Net分布式技术，移动服务端架构及系统安全学习及研究";

_btnHook = new Button { Text = "sTarthOok" };
_btnHook.Click += (sende, ex) => {
bool result = false;
if (_btnHook.Text.Equals("sTarthOok")) {
result = NativeAPI.InstallHook(System.Diagnostics.Process.GetCurrentProcess().Id);
_btnHook.Text = "sTophOok";
}
else if (_btnHook.Text.Equals("sTophOok")) {
NativeAPI.UninstallHook();
_btnHook.Text = "sTarthOok";
}

//MessageBox.Show(result.ToString());
};

this.Controls.Add( _btnHook );
_btnHook.SetBounds( 0 , 5 , 350,40 );
this.Controls.Add( lb);
lb.SetBounds( 0 , 50 , 350,40 );
}

class NativeAPI{
[DllImport("HookNtOpenProcessLib.dll",CallingConvention=CallingConvention.Cdecl)]
public extern static bool InstallHook( int pid );
[DllImport("HookNtOpenProcessLib.dll",CallingConvention=CallingConvention.Cdecl)]
public extern static bool UninstallHook();
}

private Button _btnHook = null;

}

e.程序运行效果读，第一张通过ARK工具查看inline hook了NtOpenProcess，NtOpenProcess进入内核后是通过调用ZwOpenProcess的，所以我们看到ZwOpenProcess也被Inline hook了,第2张通过任务管理器结束进程

 

 

关于程序中一些注意问题:

1. 编译HookNtOpenProcessLib.dll时候，如果要运行在64位系统下，通过“配置管理器”设置下平台X64（也就是你要编译两份DLL，一份是平台为win32的，一个是X64下的)

2. 附件中C#程序，如果希望运行在32位和64位系统上，请通过“配置管理器”设置平台为“AnyCPU”

3. 将编译好的dll（32位和64位）的放在测试demo下，测试demo在调用InstallHook时候，内部SetWindowsHookEx会根据当前平台调用对应的HookNtOpenProcessLib.dll

---

 

如果在使用中还存在任何问题，可以给我留言或者通过我的邮箱[email protected]

 

{ 后面有时间，将发表一些关于Mhook实现的文章和关于内核Hook的文章，游戏hook等 敬请关注  }

  【旧源码】HookNtOpenProcess Source 

 

专注于: Net分布式技术，移动服务端架构及系统安全学习及研究  by Andy

---

 

 

 

 

 

 

分类:  System Hacker

标签:  进程保护,  Hook,  Hook NtOpenProcess,  Ring3,  游戏hook