Hook SSDT NtOpenProcess的完整代码

以下是通过Hook SSDT NtOpenProcess保护进程的完整代码，对喜欢HOOK的初学者帮助很大

驱动代码Protect.C:

1. #include "ntddk.h"
   
2. #define NT_DEVICE_NAME      L"\\Device\\ProtectProcess"
   
3. #define DOS_DEVICE_NAME     L"\\DosDevices\\ProtectProcess"
   
4. #define IOCTL_PROTECT_CONTROL CTL_CODE(FILE_DEVICE_UNKNOWN, 0x800, METHOD_BUFFERED, FILE_ANY_ACCESS)
   
5. NTSTATUS DispatchDeviceControl(IN PDEVICE_OBJECT  DeviceObject,IN PIRP  Irp);
   
6. VOID OnUnload(IN PDRIVER_OBJECT DriverObject);
   
7. #pragma pack(1)        //SSDT表的结构
   
8. typedef struct ServiceDescriptorEntry {
   
9.         unsigned int *ServiceTableBase;
   
10.         unsigned int *ServiceCounterTableBase; //Used only in checked build
    
11.         unsigned int NumberOfServices;
    
12.         unsigned char *ParamTableBase;
    
13. } ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;
    
14. #pragma pack()
    
15. __declspec(dllimport) ServiceDescriptorTableEntry_t KeServiceDescriptorTable;        //变量名是不能变的,因为是从外部导入
    
16. //这个是查询某个函数的地址的一个宏
    
17. #define SYSTEMSERVICE(_function)  KeServiceDescriptorTable.ServiceTableBase[*(PULONG)((PUCHAR)_function+1)]
    
18. 
    
19. NTSYSAPI NTSTATUS NTAPI ZwOpenProcess(OUT PHANDLE ProcessHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,IN PCLIENT_ID ClientId OPTIONAL);
    
20. typedef NTSTATUS (*ZWOPENPROCESS)(OUT PHANDLE ProcessHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,IN PCLIENT_ID ClientId OPTIONAL);
    
21. 
    
22. ZWOPENPROCESS OldZwOpenProcess;
    
23. long pid = -1;
    
24. 
    
25. NTSTATUS NewZwOpenProcess(OUT PHANDLE ProcessHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,IN PCLIENT_ID ClientId OPTIONAL)
    
26. {
    
27.         //用来替换的新函数
    
28.         NTSTATUS nStatus = STATUS_SUCCESS;
    
29.         if((long)ClientId->UniqueProcess == pid)
    
30.         {
    
31.                 DbgPrint("保护进程 PID:%ld\n",pid);
    
32.                 return STATUS_ACCESS_DENIED;
    
33.         }
    
34. 
    
35.         //剩下的交给我们的原函数
    
36.         nStatus = OldZwOpenProcess(ProcessHandle,DesiredAccess,ObjectAttributes,ClientId);
    
37.         return STATUS_SUCCESS;
    
38. }
    
39. 
    
40. VOID OnUnload(IN PDRIVER_OBJECT DriverObject)
    
41. {
    
42.         //卸载时会调用
    
43.         UNICODE_STRING DeviceLinkString;
    
44.         PDEVICE_OBJECT DeviceObjectTemp1=NULL;
    
45.         PDEVICE_OBJECT DeviceObjectTemp2=NULL;
    
46. 
    
47.         DbgPrint("驱动程序卸载...\n");
    
48. 
    
49.         RtlInitUnicodeString(&DeviceLinkString,DOS_DEVICE_NAME);
    
50.         IoDeleteSymbolicLink(&DeviceLinkString);
    
51.         if(DriverObject)
    
52.         {
    
53.                 DeviceObjectTemp1=DriverObject->DeviceObject;
    
54.                 while(DeviceObjectTemp1)
    
55.                 {
    
56.                         DeviceObjectTemp2=DeviceObjectTemp1;
    
57.                         DeviceObjectTemp1=DeviceObjectTemp1->NextDevice;
    
58.                         IoDeleteDevice(DeviceObjectTemp2);
    
59.                 }
    
60.         }  
    
61.         DbgPrint("设备已经卸载\n");
    
62. 
    
63.         DbgPrint("修复SSDT表\n");
    
64.         (ZWOPENPROCESS)(SYSTEMSERVICE(ZwOpenProcess)) = OldZwOpenProcess;
    
65. 
    
66.         DbgPrint("驱动卸载完毕.\n");
    
67. }
    
68. 
    
69. NTSTATUS DispatchDeviceControl(IN PDEVICE_OBJECT  DeviceObject,IN PIRP  Irp)
    
70. {
    
71.         //IRP_MJ_DEVICE_CONTROL的响应函数
    
72.         NTSTATUS nStatus = STATUS_SUCCESS;
    
73.         ULONG IoControlCode = 0;
    
74.         PIO_STACK_LOCATION IrpStack = NULL;
    
75. 
    
76.         long* inBuf = NULL;
    
77.         char* outBuf = NULL;
    
78.         ULONG inSize = 0;
    
79.         ULONG outSize = 0;
    
80.         PCHAR buffer = NULL;
    
81.         PMDL mdl = NULL;
    
82. 
    
83.         Irp->IoStatus.Status = STATUS_SUCCESS;
    
84.         Irp->IoStatus.Information = 0;
    
85. 
    
86.         IrpStack = IoGetCurrentIrpStackLocation(Irp);
    
87. 
    
88.         switch(IrpStack->MajorFunction)
    
89.         {
    
90.         case IRP_MJ_CREATE:
    
91.                 DbgPrint("IRP_MJ_CREATE 被调用\n");
    
92.                 break;
    
93.         case IRP_MJ_CLOSE:
    
94.                 DbgPrint("IRP_MJ_CLOSE 被调用\n");
    
95.                 break;
    
96.         case IRP_MJ_DEVICE_CONTROL:
    
97.                 DbgPrint("IRP_MJ_DEVICE_CONTROL 被调用\n");
    
98.                 IoControlCode = IrpStack->Parameters.DeviceIoControl.IoControlCode;
    
99.                 switch(IoControlCode)
    
100.                 {
     
101.                 case IOCTL_PROTECT_CONTROL:
     
102.                         inSize = IrpStack->Parameters.DeviceIoControl.InputBufferLength;
     
103.                         outSize = IrpStack->Parameters.DeviceIoControl.OutputBufferLength;                        
     
104.                         inBuf = (long*)Irp->AssociatedIrp.SystemBuffer;
     
105.                 
     
106.                         pid = *inBuf;
     
107.                         DbgPrint("===========================\n");
     
108.                         DbgPrint("IOCTL_PROTECT_CONTROL 被调用,通讯成功!\n");
     
109.                         DbgPrint("输入缓冲区大小: %d\n",inSize);
     
110.                         DbgPrint("输出缓冲区大小: %d\n",outSize);
     
111.                         DbgPrint("输入缓冲区内容: %ld\n",*inBuf);
     
112.                         DbgPrint("当前保护进程ID: %ld\n",pid);
     
113.                         DbgPrint("===========================\n");        
     
114.                         
     
115.                         strcpy(Irp->UserBuffer,"OK!\n");
     
116.                         break;
     
117.                 default:
     
118.                         break;
     
119.                 }
     
120.                 break;
     
121.         default:
     
122.                 DbgPrint("未知请求包被调用\n");
     
123.                 break;
     
124.         }
     
125. 
     
126.         nStatus = Irp->IoStatus.Status;
     
127. 
     
128.         IoCompleteRequest(Irp,IO_NO_INCREMENT);
     
129. 
     
130.         return nStatus;
     
131. }
     
132. 
     
133. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING theRegistryPath)
     
134. {
     
135.         //驱动入口函数
     
136.         NTSTATUS        ntStatus = STATUS_SUCCESS;
     
137.         UNICODE_STRING  ntDeviceName;
     
138.         UNICODE_STRING  DeviceLinkString;
     
139.         PDEVICE_OBJECT  deviceObject = NULL;
     
140. 
     
141.         DbgPrint("驱动程序加载...\n");
     
142. 
     
143.         RtlInitUnicodeString( &ntDeviceName, NT_DEVICE_NAME );
     
144. 
     
145.         ntStatus = IoCreateDevice(
     
146.                 DriverObject,
     
147.                 0,
     
148.                 &ntDeviceName,
     
149.                 FILE_DEVICE_UNKNOWN,
     
150.                 0,
     
151.                 FALSE,
     
152.                 &deviceObject );
     
153. 
     
154.         if ( !NT_SUCCESS( ntStatus ) )
     
155.         {
     
156.                 DbgPrint("无法创建驱动设备");
     
157.                 return ntStatus;
     
158.         }
     
159. 
     
160.         RtlInitUnicodeString(&DeviceLinkString,DOS_DEVICE_NAME);
     
161.         ntStatus=IoCreateSymbolicLink(&DeviceLinkString,&ntDeviceName);
     
162. 
     
163.         if(!NT_SUCCESS(ntStatus))
     
164.         {
     
165.                 return ntStatus;
     
166.         }
     
167. 
     
168.         DriverObject->MajorFunction[IRP_MJ_CREATE] = DispatchDeviceControl;
     
169.         DriverObject->MajorFunction[IRP_MJ_CLOSE] = DispatchDeviceControl;
     
170.         DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = DispatchDeviceControl;
     
171.         DriverObject->DriverUnload = OnUnload;
     
172. 
     
173.         DbgPrint("驱动程序已经启动\n");
     
174. 
     
175.         DbgPrint("修改SSDT表...\n");
     
176. 
     
177.         //修改 ZwOpenProcess 函数地址
     
178.         OldZwOpenProcess =(ZWOPENPROCESS)(SYSTEMSERVICE(ZwOpenProcess));
     
179.         (ZWOPENPROCESS)(SYSTEMSERVICE(ZwOpenProcess)) = NewZwOpenProcess;
     
180. 
     
181.         DbgPrint("驱动程序加载完毕.\n");
     
182. 
     
183.         return STATUS_SUCCESS;
     
184. }

复制代码

安装驱动的源代码：

1. #include <stdio.h>
   
2. #include <stdlib.h>
   
3. #include <windows.h>
   
4. #include <process.h>
   
5. 
   
6. #define BUF_SIZE 4096
   
7. 
   
8. int main(int argc,char* argv[])
   
9. {
   
10.         char path[BUF_SIZE];
    
11.         char base[BUF_SIZE];
    
12.         char sername[BUF_SIZE];
    
13.         char disname[BUF_SIZE];
    
14.         memset(path,0,BUF_SIZE);
    
15.         memset(base,0,BUF_SIZE);
    
16.         memset(sername,0,BUF_SIZE);
    
17.         memset(disname,0,BUF_SIZE);
    
18.         
    
19.         SC_HANDLE rh = NULL;
    
20.         SC_HANDLE sh = NULL;
    
21.         if (argc == 1)
    
22.         {
    
23.                 printf("use: install/start/uninstall\n");
    
24.                 exit(0);
    
25.         }
    
26.         
    
27.         ::GetModuleFileName(0,base,BUF_SIZE);
    
28.         int p = strlen(base);
    
29.         while(base[p] != '\\'){p--;}
    
30.         strncpy(path,base,p+1);
    
31.         memset(base,0,BUF_SIZE);
    
32.         sprintf(base,"%sInstall.ini",path);
    
33.         memset(path,0,BUF_SIZE);
    
34.         ::GetPrivateProfileString("Config","Path","",path,BUF_SIZE,base);
    
35.         ::GetPrivateProfileString("Config","ServiceName","",sername,BUF_SIZE,base);
    
36.         ::GetPrivateProfileString("Config","DisplayName","",disname,BUF_SIZE,base);
    
37. 
    
38.         printf("[*]Service Name:%s\n",sername);
    
39.         printf("[*]Display Name:%s\n",disname);
    
40.         printf("[*]Driver  Path:%s\n",path);
    
41.         
    
42.         
    
43.         sh = OpenSCManager(NULL,NULL,SC_MANAGER_ALL_ACCESS);
    
44.         
    
45.         if (!sh){
    
46.                 printf("[-]Error OpenSCManger.\n");
    
47.                 exit(0);
    
48.         }
    
49.         
    
50.         
    
51.         if (argc == 2 && !strcmp(argv[1],"install"))
    
52.         {
    
53.                 if (!strcmp(path,""))
    
54.                 {
    
55.                         printf("[-]error read Install.ini\n");
    
56.                         exit(0);
    
57.                 }
    
58.                 
    
59.                 rh = CreateService(sh,sername,disname,
    
60.                         SERVICE_ALL_ACCESS,
    
61.                         SERVICE_KERNEL_DRIVER,
    
62.                         //{
    
63.                         //SERVICE_SYSTEM_START,
    
64.                         SERVICE_DEMAND_START,
    
65.                         //}
    
66.                         SERVICE_ERROR_NORMAL,
    
67.                         path,
    
68.                         NULL,NULL,NULL,NULL,NULL);
    
69. 
    
70.                 if (!rh){
    
71.                         printf("[-]error CreateService.\n");
    
72.                         exit(0);
    
73.                 }
    
74. 
    
75.                 printf("[-]Install Service Complete...\n");
    
76.         }else if (argc == 2 && !strcmp(argv[1],"start"))
    
77.         {
    
78. 
    
79.                 rh = OpenService(sh,sername,SERVICE_ALL_ACCESS);
    
80. 
    
81.                 if (!rh){
    
82.                         printf("error OpenService.\n");
    
83.                         exit(0);
    
84.                 }
    
85. 
    
86.                 StartService(rh,NULL,NULL);
    
87. 
    
88.                 printf("[-]Start Service Complete...\n");
    
89. 
    
90.         }else if (argc == 2 && !strcmp(argv[1],"uninstall"))
    
91.         {
    
92.                 rh = OpenService(sh,sername,SERVICE_ALL_ACCESS);
    
93. 
    
94.                 if (!rh){
    
95.                         printf("error OpenService.\n");
    
96.                         exit(0);
    
97.                 }
    
98. 
    
99.                 SERVICE_STATUS ss;
    
100.                 ControlService(rh,SERVICE_CONTROL_STOP,&ss);
     
101. 
     
102.                 printf("[-]Stop Service Complete...\n");
     
103. 
     
104.                 DeleteService(rh);
     
105. 
     
106.                 printf("[-]Delete Service Complete...\n"); 
     
107.         }
     
108. 
     
109.         CloseServiceHandle(rh);
     
110.         CloseServiceHandle(sh);
     
111. 
     
112.         return 1;
     
113. }

复制代码

调用驱动的应用程序代码：

1. #include <stdio.h>
   
2. #include <stdlib.h>
   
3. #include <windows.h>
   
4. #include <winioctl.h>
   
5. 
   
6. #define IOCTL_HELLO_CONTROL CTL_CODE(FILE_DEVICE_UNKNOWN, 0x800, METHOD_BUFFERED, FILE_ANY_ACCESS)
   
7. 
   
8. int main(int argc,char* argv[])
   
9. {
   
10.         long pid = 0;
    
11.         char ret[4096];
    
12.         DWORD ReBytes = 0;
    
13.         HANDLE hDevice=CreateFile("\\\\.\\ProtectProcess",GENERIC_READ|GENERIC_WRITE,0,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);
    
14.         if(hDevice==INVALID_HANDLE_VALUE)
    
15.         {
    
16.                 if (2 == GetLastError())
    
17.                 {
    
18.                         printf("驱动程序未注册\n");
    
19.                 }else
    
20.                         printf("CreateFile() GetLastError reports %d\n",GetLastError());
    
21.                 return FALSE;
    
22.         }
    
23. 
    
24.         memset(ret,0,4096);
    
25.         printf("控制台版进程保护器\n");
    
26.         printf("请输入需要保护的进程PID:");
    
27.         scanf("%ld",&pid);
    
28.         DeviceIoControl(hDevice,IOCTL_HELLO_CONTROL,&pid,sizeof(long),ret,4096,&ReBytes,NULL);
    
29. 
    
30.         printf("Return Value:%s\n",ret);
    
31. 
    
32.         CloseHandle(hDevice);
    
33.         system("pause");
    
34.         return 1;
    
35. }