首页
论坛
课程
招聘
[原创]MinHook测试与分析(x64下 E9,EB,CALL指令测试,且逆推测试微软热补丁)
2017-9-24 12:43 7127

[原创]MinHook测试与分析(x64下 E9,EB,CALL指令测试,且逆推测试微软热补丁)

2017-9-24 12:43
7127

依稀记得第一次接触Hook的概念是在周伟民先生的书中-><<多任务下的数据结构与算法>>,当时觉得Hook很奇妙,有机会要学习到,正好近段日子找来了MiniHook,就一起分享一下。

本篇文章是在x64下测试与分析jmp+offset类型的Hook,并且逆推测出热补丁的简单用法,MinHook它的中心就是覆盖重写并且可以复原。知道大概的思路后后让我们先来具体的实现MinHook再去做测试。

首先是堆的申请(申请PAGE_SIZE大小自动生长的堆),以下是实现与卸载

 1 NTSTATUS WINAPI Initialize(VOID)
 2 {
 3     NTSTATUS Status = STATUS_SUCCESS;
 4 
 5     EnterSpinLock();
 6     
 7     if (__HeapHandle == NULL)
 8     {
 9         __HeapHandle = HeapCreate(0,//申请堆栈
10             0,    //提交 PAGE_SIZE
11             0);   //If dwMaximumSize is 0, the heap can grow in size.自动增长
12         if (__HeapHandle != NULL)
13         {
14             //没有实现
15         }
16         else
17         {
18             Status = STATUS_MEMORY_NOT_ALLOCATED;
19         }
20     }
21     else
22     {
23         Status = STATUS_ADDRESS_ALREADY_EXISTS;
24     }
25 
26     LeaveSpinLock();
27 
28     return Status;
29 }
30 
31 NTSTATUS WINAPI Uninitialize(VOID)
32 {
33     NTSTATUS Status = STATUS_SUCCESS;
34 
35     return Status;
36 }

第一幕CreateHook

CreateHook 第一步:判断内存是否申请好了,是否可执行,判断是否已经Hook过了,如果已经Hook过,当让他返回其所在位置,因为此时他的地址位置已经可以用来启动Hoook,如下代码详解

 1 UINT FindHookEntry(LPVOID FunctionAddress)
 2 {
 3     UINT i;
 4     for (i = 0; i < __Hooks.Length; ++i)
 5     {
 6         if ((ULONG_PTR)FunctionAddress == (ULONG_PTR)__Hooks.Items[i].TargetFunctionAddress)
 7             return i;
 8     }
 9     return STATUS_NOT_FOUND;
10 }

CreateHook 第二步:进行Hook,在这里用到TRAMPOLINE结构体,我称之为跳板结构体,作为数据的中间传输过渡,TRAMPOLINE中几个注意的成员是1.Relay:在x64下Fake函数到原函数的中转站(x86用不到),2.OldIPs:原函数地址的偏移字节的保存3.NewIPs: 已经写入FakeFunctionAddress函数的字节数 4.MemorySlot:32字节原函数地址的前7个字节和跳转指令后的字节 5.PachAbove:热补丁

 1 typedef struct _TRAMPOLINE
 2 {
 3     LPVOID TargetFunctionAddress;        // [In] Address of the target function.
 4     LPVOID FakeFunctionAddress;          // [In] Address of the detour function.
 5     LPVOID MemorySlot;                   // MemorySlot 32字节原函数地址的前五个字节和跳转指令后的字节
 6 
 7 #if defined(_M_X64) || defined(__x86_64__)
 8     LPVOID Relay;          // [Out] Address of the relay function.
 9 #endif
10     BOOL   PatchAbove;      // [Out] Should use the hot patch area?  //Patch  --->热补丁哦  //0xA 0xB
11     UINT   IP;              // [Out] Number of the instruction boundaries.
12     UINT8  OldIPs[8];       // [Out] Instruction boundaries of the target function.
13     UINT8  NewIPs[8];       // [Out] Instruction boundaries of the trampoline function.
14 } TRAMPOLINE, *PTRAMPOLINE;

CreateHook 第三步: 分配一块内存用来保存Trampoline里的MemorySlot数据 ,以下是MemorySlot结构体定义(MemorySlot内存构建放到最后的代码链接中):

 1 #define MEMORY_BLOCK_SIZE 0x1000
 2 #if defined(_M_X64) || defined(__x86_64__)
 3 #define MEMORY_SLOT_SIZE 64
 4 #else
 5 #define MEMORY_SLOT_SIZE 32
 6 #endif
 7 
 8 // Max range for seeking a memory block. (= 1024MB)
 9 #define MAX_MEMORY_RANGE 0x40000000
10 
11 typedef struct _MEMORY_SLOT
12 {
13     union
14     {
15         struct _MEMORY_SLOT *Flink;//下一指针
16         UINT8 BufferData[MEMORY_SLOT_SIZE];
17     };
18 } MEMORY_SLOT, *PMEMORY_SLOT;  //32字节
19 
20 typedef struct _MEMORY_BLOCK
21 {
22     _MEMORY_BLOCK* Flink;
23     PMEMORY_SLOT   FreeMeorySlotHead;         // First element of the free slot list.空闲插槽列表的第一个元素。
24     UINT UsedCount;
25 } MEMORY_BLOCK, *PMEMORY_BLOCK; //12字节

CreateHook 第四步:CreateTrampoline

Hook的Target我们这里先使用MessageBoxW,作为一个详细的jmp跳转流程解释,然后我写了几个汇编程序去进行其他E8,Call等指令的跳转实现,不过它是怎么跳转的我会在下面跳转的时候贴出来,首先来玩X64下的MessageBoxW,

64位 MessageBox
		00007FF97B4485A0 48 83 EC 38          sub         rsp,38h
		00007FF97B4485A4 45 33 DB             xor         r11d,r11d
		00007FF97B4485A7 44 39 1D 7A 33 03 00 cmp         dword ptr [gfEMIEnable (07FF97B47B928h)],r11d
		00007FF97B4485AE 74 2E                je          MessageBoxW+3Eh (07FF97B4485DEh)
		00007FF97B4485B0 65 48 8B 04 25 30 00 00 00 mov         rax,qword ptr gs:[30h]
		00007FF97B4485B9 4C 8B 50 48          mov         r10,qword ptr [rax+48h]
		00007FF97B4485BD 33 C0                xor         eax,eax
		00007FF97B4485BF F0 4C 0F B1 15 98 44 03 00 lock cmpxchg qword ptr [gdwEMIThreadID (07FF97B47CA60h)],r10
		00007FF97B4485C8 4C 8B 15 99 44 03 00 mov         r10,qword ptr [gpReturnAddr (07FF97B47CA68h)]
		00007FF97B4485CF 41 8D 43 01          lea         eax,[r11+1]
		00007FF97B4485D3 4C 0F 44 D0          cmove       r10,rax
		00007FF97B4485D7 4C 89 15 8A 44 03 00 mov         qword ptr [gpReturnAddr (07FF97B47CA68h)],r10
		00007FF97B4485DE 83 4C 24 28 FF       or          dword ptr [rsp+28h],0FFFFFFFFh
		00007FF97B4485E3 66 44 89 5C 24 20    mov         word ptr [rsp+20h],r11w
		00007FF97B4485E9 E8 A2 FE FF FF       call        MessageBoxTimeoutW (07FF97B448490h)
		00007FF97B4485EE 48 83 C4 38          add         rsp,38h

CreateTrampoline 第一步:前面讲过我们是通过跳转加指令形式跳转到我们需要到的地址处,上面代码注释中我们了解到OldPos与NewPos是在MemorySlot创建过程对原函数地址的偏移字节的保存和已经写入FakeFunctionAddress函数的字节数,如下

1         ULONG_PTR OldInstance = (ULONG_PTR)Trampoline->TargetFunctionAddress + OldPos;
2         ULONG_PTR NewInstance = (ULONG_PTR)Trampoline->MemorySlot + NewPos;
3         //数据
4         //OldPos是指的指令的偏移字节 即5个字节中的第2345位.OldInstance地址
5         //指令长度

CreateTrampoline 第二步:构建 MemorySlot,他的构建do-While()循坏,x64下的MessageBoxW跳转在7字节处,所以为了之后的恢复,我们需要把7字节的内容做一个保存,这就是所谓的OriginalDataBackup数组的作用->用来恢复也就是解除Hook,后面会逐步解析他的作用和位置,我们这里先记住即可

MemorySlot开始申请32字节的长度,,我们利用反汇编引擎HDE计算出MessageBoxW函数基地址,从上面给出的MessageBoxW的地址内容中,我们可以看到到达7字节的加法是先加4个字节到下一地址,然后加3到跳转位置,记录在OldPos,NewPos中

CopyCodeLength = HDE_DISASM((LPVOID)OldInstance, &hde);
        if (hde.flags & F_ERROR)
        {
            return FALSE;
        }

        CopyCodeData = (LPVOID)OldInstance;
        .....
        


        Trampoline->OldIPs[Trampoline->IP] = OldPos;
        Trampoline->NewIPs[Trampoline->IP] = NewPos;
        Trampoline->IP++;
    

到达7字节了,我们就可以去做跳回MessageBoxW基地址加偏移跳转指令了

  1if (OldPos >= sizeof(JMP_REL))
		{
			// The trampoline function is long enough.

#if defined(_M_X64) || defined(__x86_64__)
		
			//OldInstance = 00007FF97B4485A7;
			jmp.Address = OldInstance;
#else        
			//OldInstance = 74CA8B85

			//目标 = 源 + Offset + 5
			//Offset = 目标 - (源 + 5) 
			jmp.Operand = (UINT32)(OldInstance - (NewInstance  + sizeof(jmp)));   //计算跳转到目标的偏移

#endif
			CopyData = &jmp;
			CopyDataLength = sizeof(jmp);

			IsLoop = TRUE;
}
 1 //这里是热补丁的判断 是否有足够的位置长跳转
 2 if (OldPos < sizeof(JMP_REL)
 3 && !IsCodePadding((LPBYTE)Trampoline->TargetFunctionAddress + OldPos, sizeof(JMP_REL) - OldPos))
 4 {
 5 
 6 // Is there enough place for a short jump?
 7 //没有有足够的位置长跳转,那是否有足够的位置短跳转?
 8 if (OldPos < sizeof(JMP_REL_SHORT)
 9 && !IsCodePadding((LPBYTE)Trampoline->TargetFunctionAddress + OldPos, sizeof(JMP_REL_SHORT) - OldPos))
10 {
11 return FALSE;
12 }
13 //只能写短跳转,使用热补丁
14 // Can we place the long jump above the function?
15 //热补丁:目标地址之前地址是否可执行?
16 if (!SeIsExecutableAddress((LPBYTE)Trampoline->TargetFunctionAddress - sizeof(JMP_REL)))
17 return FALSE;
18 //目标地址之前是否是可被覆盖的空白
19 if (!IsCodePadding((LPBYTE)Trampoline->TargetFunctionAddress - sizeof(JMP_REL), sizeof(JMP_REL)))
20 return FALSE;
21 //标志可以热补丁
22 Trampoline->PatchAbove = TRUE;
//下面很重要对于x64的Hook,之前提到Relay的作用时数据的中转在这里实现
#if defined(_M_X64) || defined(__x86_64__)
	// Create a relay function.
	jmp.Address = (ULONG_PTR)Trampoline->FakeFunctionAddress;

	Trampoline->Relay = (LPBYTE)Trampoline->MemorySlot + NewPos;
	memcpy(Trampoline->Relay, &jmp, sizeof(jmp));
#endif


做了这么多工作,无非是为了MemorySlot里有数据前7个字节和跳转回MessageBoxW的基地址+偏移,构造好后,我们的TRAPOLINE结构也就完成

CreateHook第五步:添加Hook信息了(TRAMPLIONE结构体过渡),我们需要再去创建一个HookEntry的结构体去完成接收信息

 1 // Hook information.
 2 typedef struct _HOOK_ENTRY
 3 {
 4     LPVOID TargetFunctionAddress;        //目标地址
 5     LPVOID FakeFunctionAddress;          //Fake地址即覆盖地址
 6     LPVOID TrampolineMemorySlot;         // Address of the trampoline function.
 7     UINT8  OriginalDataBackup[8];        // Original prologue of the target function.目标功能的原始序幕- //恢复Hook使用的存放原先数据
 8 
 9     UINT8  PatchAbove : 1;    // Uses the hot patch area.  备份原函数的5字节,重要!!!
10     UINT8  IsEnabled : 1;     // Enabled.启用或者关闭
11     UINT8  queueEnable : 1;   // Queued for enabling/disabling when != isEnabled.
12     
13     UINT   IP : 4;            // Count of the instruction boundaries.索引 想到汇编的IP就很明白了
14     UINT8  OldIPs[8];         // Instruction boundaries of the target function.原地址的字节变化就靠它了
15     UINT8  NewIPs[8];         // Instruction boundaries of the trampoline function 用在后续解释的MemorySlot中
16 } HOOK_ENTRY, *PHOOK_ENTRY;   //44字节
17 
18 
19 typedef struct _HOOK_INFORMATION_
20 {
21     PHOOK_ENTRY Items;            // Data heap
22     UINT        MaximumLength;    // Size of allocated data heap, items
23     UINT        Length;           // Actual number of data items
24 }HOOK_INFORMATION,*PHOOK_INFORMATION;

当有了这个结构体后就可以去CreateHook了,下面是构建过程:

 1     if (CreateTrampoline(&Tl))
 2     {
 3     PHOOK_ENTRY HookEntry = AddHookEntry(); //填充一个HookInfo信息
 4        if (HookEntry != NULL)
 5     {
 6 HookEntry->TargetFunctionAddress = Tl.TargetFunctionAddress;       
 7 #if defined(_M_X64) || defined(__x86_64__)
 8             HookEntry->FakeFunctionAddress = Tl.pRelay;//跳转在trampolinex64重要
 9 #else
10 HookEntry->FakeFunctionAddress = Tl.FakeFunctionAddress;
11 #endif
12 HookEntry->TrampolineMemorySlot = Tl.MemorySlot;
13 HookEntry->PatchAbove = Tl.PatchAbove
14 HookEntry->IsEnabled = FALSE;
15     //HookEntry->QueueEnable = FALSE;
16 HookEntry->IP = Tl.IP;
17 
18 memcpy(HookEntry->OldIPs, Tl.OldIPs, ARRAYSIZE(Tl.OldIPs));
19 memcpy(HookEntry->NewIPs, Tl.NewIPs, ARRAYSIZE(Tl.NewIPs));
20 
21 // Back up the target function.
22 
23 if (Tl.PatchAbove)//这就是热补丁
24 {
25 memcpy(
26 HookEntry->OriginalDataBackup,
27 (LPBYTE)TargetFunctionAddress - sizeof(JMP_REL),
28 sizeof(JMP_REL) + sizeof(JMP_REL_SHORT));
29 }
30 else
31 {    //存储源函数的数据内容    
32 memcpy(HookEntry->OriginalDataBackup, TargetFunctionAddress, sizeof(JMP_REL));
33 }
34 if (OriginalWhitelist != NULL)//白名单,用来恢复
35 {
36 *OriginalWhitelist = HookEntry->TrampolineMemorySlot;
37 }        

到这里为止终于是创建了Hook

第二幕  EnableHook

顾名思义就是启动Hook,显而易见得知它的作用无非就是覆盖原函数我们记录的那7字节,如下:

1 //SHELLCODE
2         PJMP_REL jmp = (PJMP_REL)PatchData;
3         jmp->Opcode = 0xE9;//跳转
4         jmp->Operand = (UINT32)((LPBYTE)HookEntry->FakeFunctionAddress - (PatchData + sizeof(JMP_REL)));
5         

当需要解除Hook时候我们就可以用到在前面说过的OriginalDataBackup去恢复原函数,或者直接调用MemorySlot中记录下的原始序幕

1         else
2         {
3             memcpy(PatchData, HookEntry->OriginalDataBackup, sizeof(JMP_REL));
4         }

第三幕 MessageBoxW测试

 1 if (CreateHook(&MessageBoxW, &FakeMessageBox,
 2         reinterpret_cast<LPVOID*>(&__OriginalMessageBoxW)) != STATUS_SUCCESS)//告知要hook成什么样子
 3     {
 4         return;
 5     }
 6 
 7     MessageBoxW(0, L"MessageBoxW", L"MessageBoxW", 0);//没有Hook还是原先,不要也行
 8     if (EnableHook(MessageBoxW) != STATUS_SUCCESS)
 9     {
10         printf("EnableHook is wrong\r\n");
11         return;
12     }
13     MessageBoxW(NULL, L"CreateHook()", L"CreateHook()", 0);//启动Hook后,现在是FakeHOOK
14 
15     printf("Input AnyKey To Exit\r\n");
16     getchar();
17 
18     Uninitialize();//返回释放
19 }
20 
21 int WINAPI FakeMessageBox(
22     _In_opt_ HWND    DialogHwnd,
23     _In_opt_ WCHAR*  DialogText,
24     _In_opt_ WCHAR*  DialogCaption,
25     _In_     UINT    Type
26 )
27 {
28     __OriginalMessageBoxW(DialogHwnd, L"FakeMessageBox", L"FakeMessageBox", Type);
29     return 0;
30 }

编译运行后出结果,先是原先的MessageBoxW:

                      

这是成功Hook后的:

                      

一切顺利,没有白费功夫,下面是我对EB,call,热补丁的汇编源码,我们仿照MessageBoxW的形式在test.cpp中定义函数指针,与Fake函数的输出形式。

在这里花费了功夫探索出了热补丁的简单定义是申请5字节空的内存然后 mov edi,edi,能应用正确,汇编代码如下

  .DATA
	MessageBoxW dq 0
.CODE	



Asm_OnInitMember PROC

	mov  qword ptr[rsp+8h],rcx
	push        rbp  
	push        rdi  
	sub         rsp,28h
	mov         rax,qword ptr[rsp+28h+8h+8h+8h]  
	mov         MessageBoxW,rax
	add         rsp,28h
	pop         rdi
	pop         rbp

ret
Asm_OnInitMember ENDP



Asm_1 PROC

   	mov  qword ptr[rsp+8h],rcx
	push        rbp  
	push        rdi 
	sub         rsp,28h
	xor         rbx,rbx 
	;00007FF77A8012BC E9 7A 0B 00 00       jmp         Asm_4 (07FF77A801E3Bh)  
    mov     rax,qword ptr[rsp+28h+8h+8h+8h]
	mov     ebx,dword ptr[rax+1]
	add     rax,rbx
	add     rax,5
	add         rsp,28h
	pop     rdi
	pop     rbp
ret
Asm_1 ENDP


Asm_3 PROC
	jmp Label1
Label1:
    jmp Label2
Label2:
	mov eax,-3
ret
Asm_3 ENDP


Asm_4 PROC
	call Label0
	jmp  Exit;
Label0:
	mov rcx,0;
	call Label1;    //Call 
		db 'H'
		db 0
		db 'e'
		db 0
		db 'l'
		db 0
		db 'l'
		db 0
		db 'o'
		db 0
		db 'S'
		db 0
		db 'u'
		db 0
		db 'b'
		db 0 
		db '_'
		db 0 
		db '4'
		db 0
		db 0
		db 0
Label1:
    pop rdx
	call Label2;
		db 'H'
		db 0
		db 'e'
		db 0
		db 'l'
		db 0
		db 'l'
		db 0
		db 'o'
		db 0
		db 'S'
		db 0
		db 'u'
		db 0
		db 'b'
		db 0 
		db '_'
		db 0 
		db '4'
		db 0
		db 0
		db 0
Label2:
     pop r8
	 mov r9,0
	    call MessageBoxW
		ret
Exit:
ret
Asm_4 ENDP


Asm_10  PROC
   db 0CCh
   db 0CCh
   db 0CCh
   db 0CCh
   db 0CCh
  
   mov edi,edi
   ret
Asm_10 ENDP
END
 1 //热补丁测试
      typedef void(*LPFN_SUB_10)();
      void FakeSub_10();   //热补丁
      LPFN_SUB_10       __OriginalSub_10 = NULL;
 2     
       PVOID v10 = Asm_1(Asm_10);
 3 
 4     if (SeCreateHook((PVOID)((ULONG_PTR)v10 + 5), &FakeSub_10,
 5         reinterpret_cast<LPVOID*>(&__OriginalSub_10)) != STATUS_SUCCESS)
 6     {
 7         return;
 8     }
 9     //对于热补丁函数调用
10     ((LPFN_SUB_10)(((ULONG_PTR)v10 + 5)))();
11 if (SeEnableHook(ALL_HOOKS) != STATUS_SUCCESS)
12     {
13         printf("SeEnableHook() Error\r\n");
14         return;
15     }
16 ((LPFN_SUB_10)(((ULONG_PTR)v10 + 5)))();

E9的测试只需要自写一个函数调用测试调用即可,如下面这样就行了然后在仿照上面自行测试即可

1 1 //E9指令,这样就行了
2 2 
3 3 void Sub_2()
4 4 {
5 5     printf("Sub_2\n\r");
6 6 }

下面是所有的正确输出结果:

好了,x64下的MiniHook终于是测试完了,写了一遍后又是更懂了,如果有什么差错,望大家纠正


第五届安全开发者峰会(SDC 2021)10月23日上海召开!限时2.5折门票(含自助午餐1份)

上传的附件:
收藏
点赞0
打赏
分享
最新回复 (14)
雪    币: 2224
活跃值: 活跃值 (320)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
MaYil 活跃值 2017-9-24 12:58
2
0
感谢分享,学习了
雪    币: 283
活跃值: 活跃值 (65)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
flame陆 活跃值 1 2017-9-24 13:28
3
0
客气客气
雪    币: 15496
活跃值: 活跃值 (20925)
能力值: (RANK:75 )
在线值:
发帖
回帖
粉丝
Editor 活跃值 2017-9-24 17:36
4
0
精彩~
雪    币: 6817
活跃值: 活跃值 (153)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
聖blue 活跃值 2017-9-24 18:57
5
0
感谢分享!!
雪    币: 283
活跃值: 活跃值 (65)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
flame陆 活跃值 1 2017-9-25 09:01
6
0
Editor 精彩~
谢谢
雪    币: 283
活跃值: 活跃值 (65)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
flame陆 活跃值 1 2017-9-25 09:01
7
0
聖blue 感谢分享!!
有分享的精神
雪    币: 283
活跃值: 活跃值 (65)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
flame陆 活跃值 1 2017-9-25 09:02
8
0
MaYil 感谢分享,学习了
客气
雪    币: 2
活跃值: 活跃值 (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
woshidc 活跃值 2017-9-25 10:02
9
0
谢谢lz又带我回顾了一遍
雪    币: 6078
活跃值: 活跃值 (249)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
kingswb 活跃值 2017-9-29 07:33
10
0
学习了
雪    币: 10
活跃值: 活跃值 (45)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
xuebook 活跃值 2017-9-29 17:55
11
0
有没有x64  program  注入呢?
雪    币: 5925
活跃值: 活跃值 (860)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
jgs 活跃值 2017-9-30 18:59
12
0
收藏,学习,谢谢楼主分享
雪    币: 1
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
YJMX 活跃值 2017-9-30 21:37
13
0

雪    币: 9
活跃值: 活跃值 (43)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
yber 活跃值 2018-6-6 12:35
14
0
收藏
雪    币: 16
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
冷露无声 活跃值 2018-6-8 10:25
15
0
是用搭桥方法实现的吗?
有些指令不能原封不动的拷贝,必须要根据地址信息进行修改.向有些mov指令,不知道这个组件能够处理吗?
游客
登录 | 注册 方可回帖
返回