首页
论坛
课程
招聘
[虚拟机保护] [原创]编写驱动检测虚拟机
2019-2-22 22:15 5151

[虚拟机保护] [原创]编写驱动检测虚拟机

2019-2-22 22:15
5151

通过CPUID

原理:通过检查功能号1的CPUID返回的ecx的最高位是否为1,如果为1,则在虚拟环境下运行。真机的最高位不为1.

  • 检测处理器是否支持 cpuid 指令(忽略这一条)
    现在的CPU都支持 cpuid 指令,没必要去检测是否支持,除非在很早的的机器上运行才有必要(那好像也要80486的机器吧)。
    在 eflags.ID 标志位是 Processor Feature Identification 位,即最高位,通过修改这个标志位的值,以此来检测是否支持 cpuid 指令。
  • 要使用CPUID指令,输入eax表示功能号(类似中断的用法)
    输出eax,ebx,ecx,edx
    在EDX和ECX中返回的功能标志表明着该CPU都支持那些功能
    ECX返回值定义如下(资料来自Intel):
       bit   Name     Description
      ---------------------------------------------------------
        00   SSE3     Streaming SIMD Extensions 3
        01            Reserved
        02   DTES64   64-Bit Debug Store
        03   MONITOR  MONITOR/MWAIT
        04   DS-CPL   CPL Qualified Debug Store
        05   VMX      Virtual Machine Extensions
        06   SMX      Safer Mode Extensions
        07   EST      Enhanced Intel SpeedStep® Technology
        08   TM2      Thermal Monitor 2
        09   SSSE3    Supplemental Streaming SIMD Extensions 3
        10   CNXT-ID  L1 Context ID
      12:11           Reserved
        13   CX16     CMPXCHG16B
        14   xTPR     xTPR Update Control
        15   PDCM     Perfmon and Debug Capability
      17:16           Reserved
        18   DCA      Direct Cache Access
        19   SSE4.1   Streaming SIMD Extensions 4.1
        20   SSE4.2   Streaming SIMD Extensions 4.2
        21   x2APIC   Extended xAPIC Support
        22   MOVBE    MOVBE Instruction
        23   POPCNT   POPCNT Instruction
      25:24           Reserved
        26   XSAVE    XSAVE/XSTOR States
        27   OSXSAVE
      31:28           Reserved
    
    下面是使用CPUID检测的核心汇编代码
    .CODE
    getcpuid PROC
      xor eax,eax
      mov eax,1h
      cpuid
      mov a,eax
      mov b,ebx
      mov c_var,ecx  
      mov d,edx
      ret
    getcpuid ENDP
    END
    
    通过利用IoInitializeTimer配合IoStartTimer的定时器来循环判定。

遍历模块

我们说到的第一种CPUID的方法可能通过修改VMX的配置等方法绕过。
还有一种方式是遍历当前系统中所有的sys。我们要查找的是vmmouse.sys,vmrawdsk.sys,vmusbmouse.sys中的任意一个。
核心是利用NtQuerySystemInformation

#include <ntddk.h>
#include <windef.h>


typedef struct _SYSTEM_MODULE_INFORMATION_ENTRY
{
    HANDLE Section;
    PVOID MappedBase;
    PVOID Base;
    ULONG Size;
    ULONG Flags;
    USHORT LoadOrderIndex;
    USHORT InitOrderIndex;
    USHORT LoadCount;
    USHORT PathLength;
    CHAR ImageName[256];
} SYSTEM_MODULE_INFORMATION, *PSYSTEM_MODULE_INFORMATION;


typedef NTSTATUS(*NTQUERYSYSTEMINFORMATION) (
    IN ULONG SystemInformationClass,
    OUT PVOID SystemInformation,
    IN ULONG_PTR SystemInformationLength,
    OUT PULONG_PTR ReturnLength OPTIONAL
    );

VOID getcpuid();
BOOLEAN CheckDriverModule();

UNICODE_STRING symLinkName = { 0 };
PDEVICE_OBJECT pDevice;
PETHREAD pThreadObject = NULL;
BOOLEAN boom = FALSE;

//eax为CPU型号
//若为虚拟机,则ecx最高位为1;如果是物理机,则最高位为0.
//code in cpuid.asm
DWORD a = 0, b = 0, c_var = 0, d = 0;


VOID Unload() {//PDRIVER_OBJECT DriverObject
    if (pThreadObject) {
        boom = TRUE;
        KeWaitForSingleObject(pThreadObject, Executive, KernelMode, FALSE, NULL);
    }
    if (pDevice) {
        IoStopTimer(pDevice);
        IoDeleteSymbolicLink(&symLinkName);
        IoDeleteDevice(pDevice);
        pDevice = NULL;
    }
    DbgPrint("Unload --------");
}

VOID TimerRoutine(PDEVICE_OBJECT DeviceObject, PVOID context) {
    DbgPrint("In TimerRoutine\n");
    //Begin normal check
    getcpuid();
    c_var = c_var >> 31;
    if (c_var){
        DbgPrint("Running in the virtual machine 2. Find VMWare by CPUID!!!!\n");
    }
}

BOOLEAN CheckDriverModule() {
    BOOLEAN bRet = FALSE;
    NTQUERYSYSTEMINFORMATION m_NtQuerySystemInformation = NULL;
    UNICODE_STRING NtQuerySystemInformation_Name = { 0 };
    PSYSTEM_MODULE_INFORMATION ModuleEntry = NULL;
    ULONG_PTR RetLength = 0, BaseAddr = 0, EndAddr = 0;
    ULONG ModuleNums = 0, Index = 0;
    NTSTATUS status = STATUS_SUCCESS;
    PVOID Buffer = NULL;
    RtlInitUnicodeString(&NtQuerySystemInformation_Name, L"NtQuerySystemInformation");
    do
    {
        m_NtQuerySystemInformation = (NTQUERYSYSTEMINFORMATION)MmGetSystemRoutineAddress(&NtQuerySystemInformation_Name);
        if (m_NtQuerySystemInformation == NULL) {
            bRet = TRUE;
            break;
        }
        status = m_NtQuerySystemInformation(0xb, NULL, 0, &RetLength);
        if (status < 0 && status != STATUS_INFO_LENGTH_MISMATCH) {
            bRet = TRUE;
            break;
        }
        Buffer = ExAllocatePoolWithTag(PagedPool, RetLength, "ytz");
        if (Buffer == NULL) {
            bRet = TRUE;
            break;
        }
        RtlZeroMemory(Buffer, RetLength);
        status = m_NtQuerySystemInformation(0xb, Buffer, RetLength, &RetLength);
        if (status < 0) {
            bRet = TRUE;
            break;
        }
        ModuleNums = *(ULONG*)Buffer;
        ModuleEntry = (PSYSTEM_MODULE_INFORMATION)((ULONG_PTR)Buffer + 8);
        for (Index = 0; Index < ModuleNums; Index++) {
            if (strstr(ModuleEntry->ImageName, "vmmouse.sys") ||
                strstr(ModuleEntry->ImageName, "vmrawdsk.sys") ||
                strstr(ModuleEntry->ImageName, "vmusbmouse.sys")) {


                DbgPrint("The Module Name is %s\n", ModuleEntry->ImageName);
                bRet = TRUE;
                break;
            }
            ModuleEntry++;
        }
        break; //Amuse
    } while (TRUE);
    if (Buffer)
    {
        ExFreePool(Buffer);
        Buffer = NULL;
    }
    return bRet;

}

VOID CheckVmWare(PVOID context) {
    LARGE_INTEGER sleeptime = { 0 };
    sleeptime.QuadPart = -20000000;
    while (1)
    {
        if (boom)
            break;
        if (CheckDriverModule()) {
            DbgPrint("Running in the virtual machine 1. Find VMWare!!!!\n");
        }
        DbgPrint("Thread is working");
        KeDelayExecutionThread(KernelMode, 0, &sleeptime);
    }
    PsTerminateSystemThread(STATUS_SUCCESS);

}

NTSTATUS DriverEntry(PDRIVER_OBJECT driverObject, PUNICODE_STRING RegPath) {
    HANDLE hThread = NULL;
    NTSTATUS status = NULL;
    UNICODE_STRING DeviceName = { 0 };
    driverObject->DriverUnload = Unload;

    status = PsCreateSystemThread(&hThread, 0, NULL, NULL, NULL, CheckVmWare, NULL);
    if (!NT_SUCCESS(status)) {
        DbgPrint("Create Thread Failed!\n");
        return STATUS_UNSUCCESSFUL;
    }

    status = ObReferenceObjectByHandle(hThread, THREAD_ALL_ACCESS, *PsThreadType, KernelMode, &pThreadObject, NULL);
    if (!NT_SUCCESS(status))
    {
        DbgPrint("Cannot reference");
        ObDereferenceObject(pThreadObject);
    }

    RtlInitUnicodeString(&DeviceName, L"\\Device\\MyDevices");
    status = IoCreateDevice(driverObject, 0, &DeviceName, FILE_DEVICE_UNKNOWN, 0, TRUE, &pDevice);
    if (!NT_SUCCESS(status)) {
        DbgPrint("Create Device Failed!");
        return STATUS_UNSUCCESSFUL;
    }
    RtlInitUnicodeString(&symLinkName, "\\?\\SybLinkName");
    status = IoCreateSymbolicLink(&symLinkName, &DeviceName);
    if (!NT_SUCCESS(status)) {
        DbgPrint("Create SymLink Failed!");
        //return STATUS_UNSUCCESSFUL;
    }
    IoInitializeTimer(pDevice, (PIO_TIMER_ROUTINE)TimerRoutine, NULL);
    IoStartTimer(pDevice);

    ZwClose(hThread);
    return STATUS_SUCCESS;
}

注:在X64下使用上文的汇编代码时,需要修改下asm的属性

效果

 

github


[公告]看雪技术峰会,技术大牛大型线下交流见面会,2020年10月23日 上海浦东喜来登由由大酒店!

最后于 2019-2-22 22:47 被微笑明天编辑 ,原因:
上传的附件:
收藏
点赞6
打赏
分享
打赏 + 6.00
打赏次数 2 金额 + 6.00
 
赞赏  Editor   +1.00 2019/02/25 精品文章~
赞赏  kanxue   +5.00 2019/02/23 感谢分享~
最新回复 (16)
雪    币: 286
活跃值: 活跃值 (81)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
猪会被杀掉 活跃值 1 2019-2-22 22:40
2
0
学习一下.
雪    币: 286
活跃值: 活跃值 (81)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
猪会被杀掉 活跃值 1 2019-2-22 23:02
3
3
根据楼主的思路改了一个应用层的献给论坛的伸手党们.

#include <stdio.h>
#include <Windows.h>
#include <winternl.h>
#include <locale.h>

typedef struct _RTL_PROCESS_MODULE_INFORMATION
{
  HANDLE Section;
  PVOID MappedBase;
  PVOID ImageBase;
  ULONG ImageSize;
  ULONG Flags;
  USHORT LoadOrderIndex;
  USHORT InitOrderIndex;
  USHORT LoadCount;
  USHORT OffsetToFileName;
  UCHAR FullPathName[256];
}RTL_PROCESS_MODULE_INFORMATION, *PRTL_PROCESS_MODULE_INFORMATION;
typedef struct _RTL_PROCESS_MODULES
{
  ULONG ModulSayisi;
  RTL_PROCESS_MODULE_INFORMATION Moduller[1];
}RTL_PROCESS_MODULES, *PRTL_PROCESS_MODULES;

int main()
{
  NTSTATUS ntstatus;
  PRTL_PROCESS_MODULES modules;
  modules = (PRTL_PROCESS_MODULES)VirtualAlloc(NULL, 1024 * 1024, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
  if (!modules){
    return -1;
  }
  decltype(NtQuerySystemInformation)* NtQuerySystemInformationPtr;
  NtQuerySystemInformationPtr = reinterpret_cast<decltype(NtQuerySystemInformation)*>(GetProcAddress(GetModuleHandleW(L"ntdll.dll"),"NtQuerySystemInformation"));
  if (!NT_SUCCESS(ntstatus = NtQuerySystemInformationPtr((SYSTEM_INFORMATION_CLASS)11, modules, 1024 * 1024, NULL))){
    VirtualFree(modules, 0, MEM_RELEASE);
    return -1;
  }
  for (ULONG i = 0; i < modules->ModulSayisi; i++){
    const char* module_name = (const char*)(modules->Moduller[i].FullPathName + modules->Moduller[i].OffsetToFileName);
    if (!lstrcmpiA(module_name, "vmmouse.sys")|| !lstrcmpiA(module_name, "vmrawdsk.sys")|| !lstrcmpiA(module_name, "vmusbmouse.sys")){
      printf("vmware!!!!!\n");
    }
  }
  VirtualFree(modules, 0, MEM_RELEASE);
  return 0;
}


雪    币: 705
活跃值: 活跃值 (272)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
gaoweb 活跃值 2019-2-23 12:33
4
0
哦哦哦学习
雪    币: 1633
活跃值: 活跃值 (405)
能力值: ( LV9,RANK:220 )
在线值:
发帖
回帖
粉丝
黑手鱼 活跃值 3 2019-2-23 14:48
5
0
猪会被杀掉 学习一下.
看过你的CSDN学到挺多知识的
雪    币: 286
活跃值: 活跃值 (81)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
猪会被杀掉 活跃值 1 2019-2-23 16:06
6
0
黑手鱼 看过你的CSDN学到挺多知识的[em_1]
雪    币: 5810
活跃值: 活跃值 (463)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
黑洛 活跃值 1 2019-2-23 16:36
7
0
遍历内核模块确实是简单的方法。
不过,如果别人先你一步加载驱动,挂了NtQuerySystemInformation这个函数又该怎么办呢?
雪    币: 1633
活跃值: 活跃值 (405)
能力值: ( LV9,RANK:220 )
在线值:
发帖
回帖
粉丝
黑手鱼 活跃值 3 2019-2-24 12:06
8
0
注册表、判断磁盘个数、磁盘大小好多好多方法。。
雪    币: 55
活跃值: 活跃值 (172)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
killpy 活跃值 2 2019-2-24 13:38
9
0
检测方法很多的  这只是其中两种办法 
雪    币: 5111
活跃值: 活跃值 (6067)
能力值: (RANK:65 )
在线值:
发帖
回帖
粉丝
Editor 活跃值 2019-2-25 09:41
10
0
感谢分享!
雪    币: 198
活跃值: 活跃值 (31)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
wx_-Vie 活跃值 2019-3-1 17:11
11
0
com 里面的检测才多
雪    币: 58
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
舒默哦 活跃值 3天前
12
0
killpy 检测方法很多的 这只是其中两种办法
雪    币: 2863
活跃值: 活跃值 (135)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
iamasbcx 活跃值 2天前
13
0
骚操作
雪    币: 178
活跃值: 活跃值 (42)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
wem 活跃值 2天前
14
0
雪    币: 4059
活跃值: 活跃值 (202)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
lononan 活跃值 2天前
15
0
从显卡入手也很方便
雪    币: 2981
活跃值: 活跃值 (222)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
大道在我 活跃值 1天前
16
0
黑洛 遍历内核模块确实是简单的方法。 不过,如果别人先你一步加载驱动,挂了NtQuerySystemInformation这个函数又该怎么办呢?
重载内核即可
雪    币: 5810
活跃值: 活跃值 (463)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
黑洛 活跃值 1 1天前
17
0
大道在我 重载内核即可
确实,都默认可以hook了
游客
登录 | 注册 方可回帖
返回