<![CDATA[sudami的[大型*野地猪*]]]> http://hi.baidu.com http://hi.baidu.com http://img.baidu.com/img/logo-hi.gif http://hi.baidu.com/sudami zh-cn www.baidu.com 5 <![CDATA[[告示]2009第二届奇虎360软件安全大赛比赛规则及题目]]> 神秘代码大PK
——2009第二届奇虎360软件安全大赛比赛规则及题目



一、比赛规则：
1. 比赛时间：2009年11月27日至2010年1月3日24：00；
2. 比赛纪律：
   1) 严禁同一人用两个或两个以上会员ID参赛；
   2) 比赛答题期间，不得在论坛或群等公开场所讨论；严禁以任何方式透露答案或答题细节;
   3) 违反以上任何一条，取消相关人员比赛资格，并ban掉相关ID。
3. 其它说明：对题目的含义如有不明之处，可以在论坛上发帖询问，但仅限于对题目本身含义的讨论，其他关于答题思路、评分标准的问题，将不予回复。
4. 答案提交规则，请认真阅读：
   （1） 为了确保答案的安全性以及结果反馈的便利性，本次比赛采用：论坛比赛区报名参赛+邮箱提交答案的方式进行。
   （2） 参加比赛的选手，请到比赛区：http://www.debugman.com/thread.php?fid=38发参赛帖，帖子标题请注明自己的ID、已做题号和邮箱地址，得分结果也将通过回复此贴告知参赛选手；
   （3） 题目答案请提交至邮箱 : 360game@360.cn，以其它任何方式提交的答案视为无效答案。为防止重复参赛，第一次提交答案请以以下格式书写邮件主题：选作题号+论坛ID+真实姓名+身份证号+联系电话，身份证号是用于判断最佳新人奖的重要依据，如未提交身份证号，视为放弃参与此奖项的角逐；
   （4） 选做一题即为参赛，参赛选手可以一次性提交选作各题答案，也可以逐次提交选作各题答案；
   （5） 每题仅能提交一次，请认真阅题，慎重提交。有如多次提交，以第一次提交的答案为准；
   （6） 提交的答案须包括所有源代码；
   （7） 由于参赛提交的任何个人信息，奇虎360公司以及DEBUGMAN论坛将严格保密并仅用于本次比赛所需的用途。

二、评分标准：
1. 此次比赛共设六道试题，每题100分，满分600分。以总分排序选出优胜者；另外，综合历次大赛经验，为便于评判，大赛组委会将视选手的答题情况酌情增加附加题，如设置附加题，将在适当时间发布；
2. 每题都存在多种不同解法，答出多种解法者，根据答案优劣，酌情加分；
3. 如题目挑战失败，但提供了解题思路及分析过程，也可酌情得分。

三、比赛题目：
1. 分析并解决某安全产品的驱动程序在windows 7 上安装后，发生的启动时锁死系统的BUG
提供锁死时的DUMP文件，要求分析出详细的问题原因，并提供修补程序或方法。修补程序只能修改BUG,不能使该产品的功能或任何正常逻辑受到影响

DUMP文件下载：http://mdl.360safe.com/win7_DeadLock.7z
满分 ：100分

2.解密Vista SP1中Bootmgr.dll
Vista 的BootMgr是系统启动过程中的引导程序之一，类似于Windows 2000/XP上的NtLdr文件。
此文件在Vista SP1及以后的操作系统版本中，其中的32位PE文件bootmgr.dll是经过处理的，不能够直接分析。
尝试分析其加密机制，并写出详细的处理流程，并编写解密程序，程序要求可以将bootmgr文件中的bootmgr.dll 转化为正确的PE文件，编写语言可以是汇编\C\C++或Delphi

满分 ：100分

3.分析并解决程序互锁问题
提供两个拥有HIPS类功能的程序：rmdring3.exe和RegmonDelete.sys，以及rmsring3.exe和RegMonSet.sys
其中RegMonDelete.sys会拦截对于指定路径：
HKEY_LOCAL_MACHINE\SYSTEM\360GAME2009

下注册表键值的删除动作，并通知rmdring3.exe，rmdring3.exe会显示提示让用户确认是否允许
RegMonSet.sys会拦截指定路径的注册表键值的写入动作，并通知rmsring3.exe,rmsring3.exe会显示提示让用户确认是否允许。rmdring3.exe和RegMonDelete.sys我们提供了源代码。

我们在rmdring3.exe和rmsring3.exe上增加了一些特殊的处理，使其会陷入一个巧妙的DeadLock中。
使用驱动加载工具加载RegMonDelete.sys和RegMonSet.sys，然后运行rmdring3.exe和rmsring3.exe,开启监控 ，然后删除指定路径下注册表键值，会发现系统陷入死锁，任何对指定路径下注册表写入、删除操作的进程都会锁死。

试分析此死锁原因，并尝试修改rmdring3.exe和RegMonDelete.sys的代码，要求修改完毕后，不会再出现类似的情况。要求不依赖超时机制，要做到完全不会死锁，而且不会影响现有的逻辑。

rmdring3.exe和RegMonDelete.sys的代码是公开的，而且可以任意修改，rmsring3.exe和RegMonSet.sys的代码是不公开的，而且不允许修改，修改的RegMonDelete.sys和rmdring3.exe也不能对RegMonSet.sys和rmsring3.exe做任何补丁或对其行为做任何特殊处理，当然也不能删除引发死锁的代码。总之要求不要投机取巧，要真正从修改通讯手段的方式上，解决这个问题。

3题附件.rar (93.91 KB)



具体解决代码会由评委评判其水平并进行评判
满分 ：100分

4.编写读取内核内存的驱动
编写一个驱动程序，提供一个接口给RING3程序或RING0程序使用，这个接口的功能是：读取任意虚拟（包括内核地址空间）内存

要求：
1)、可以稳定读取任意地址内存，若该地址为无效地址，返回FALSE；否则必须正确读取（无论该页是否被换出至辅存）。
2)、支持Windows XP / VISTA / Win7
满分：100分
  
5.删除被驱动保护的文件
A. 环境
操作系统:Windows XP sp2
磁盘格式: C盘必须为NTFS格式;   请确保系统盘为C盘
B. 挑战规则
1. 运行DbgView.exe,用驱动加载工具加载我们的驱动文件 HijackFile.sys, 然后务必打开一下 IE浏览器,当看到如下信息表明驱动启动成功:
  



2. 本驱动启动成功后会保护 “C:\WINDOWS\system32\360Safe.txt” 文件不被操作(删除/重命名/读/写 均会失败). 效果如下:


或者:



3. 请尝试写程序删除本文件
C. 挑战条件
   1. 驱动加载成功后,不能摘除本驱动的HOOK, 不能破坏本驱动的过滤函数流程.,不能对本驱动做任何修改
   2. 必须写程序删除掉该文件, 应用程序和驱动均可
   3. 不能重启系统
   4. 删除该文件后能在Windows资源管理器(explorer.exe)中看到删除效果  
   5. 删除该文件后,系统磁盘不能有任何损坏(用chkdsk检测)

5题附件.rar (32.45 KB)



6. 记录程序控制转移并进行匹配算法研究
(1)利用调试与性能监视功能（例如最后分支记录等）编写一个记录程序，记录一个线程调用一个API（定为CreateFileA）的控制流路径（应过滤无关数据）。
(2)在干净的系统多次（10次）运行，以所得数据为基础生成一个正常控制流路径模板（可自由设计，比如可选取一些数据构造流图或是call tree），并提供一个模式匹配算法计算以后系统运行生成的数据同模板间的相似度（例如计算控制流图的相似度），要求：
       (a).干净系统运行数据计算的结果（相似度）大于90%；
       (b).使用API HOOK（例如使用hxdef）后生成的数据计算结果低于10%
参考评分标准：
1、控制流路径的正确记录；
2、设计的模板能有效描述干净系统控制流路径特征；
3、根据算法给适当分数。


类别：胡扯 查看评论]]> 2009年11月27日 星期五 12:41 http://hi.baidu.com/sudami/blog/item/d4340908fb51cf9f0a7b82fc.html <![CDATA[[YY]为啥大凡网游都有外挂?]]>         国庆最后几天,在家玩游戏, "穿越火线 ", 刚上去就碰到一堆G, 再换个房间,又是一堆. 天呐,前段时间挂还挺少的,现在越来越普及.垃圾 腾讯做游戏代理也不好好维护健康的游戏环境. 简直没法玩了. 索性自己下了个挂用用, 无奈啊...

后来想想,这帮搞游戏外挂的人是牛人啊. 又要调试游戏,又要写驱动和漂亮的界面,又要会加密解密,又要懂网络,又要做网站...

太强悍了,而且很低调,看来利润很丰厚啊. 我怕人家的挂有病毒,想自己写一个,自己玩,多好啊,又不怕被腾讯封. 外面放出去给菜鸟们用的挂没几天就被腾讯封了,又得更新又得重新下载,还担心被盗号. 哎, 调试游戏又不容易, 他们这帮人不一般呐...

丢个外挂,驱动貌似35KB,看有没有人逆一下(有人逆我就不逆了)

穿越火线V4.2版本外挂_穿透力.网吧家庭通用版.rar

外挂的驱动.rar

[不用看了,垃圾挂,用Cheat Engine改的,没意思...]


类别：胡扯 查看评论]]> 2009年10月08日 星期四 12:31 http://hi.baidu.com/sudami/blog/item/7cdc7c015e2dfe047bec2c36.html <![CDATA[[note]调试笔记之雨过天晴多点还原软件MBR实例]]> 文字较多,附件给出:

http://bbs.pediy.com/showthread.php?t=98312

调试笔记之雨过天晴多点还原软件MBR实例.rar (985.03 KB) | DownLoad

btw: 引用 V 插 K 同学的话 :

"没那么复杂~根据VMW开放的代码可以直接从VMware的img文件里提取出disk.img来不多说了~弄这么复杂干啥~"

我火星了, 貌似你那样做支持VM 3, 4. 现在都6.5版本了.无图无真相,弄出来了再这样说,我才相信.其他的我不管,反正我用我的方法达到目的了,也没什么损失,倒是积累了些调试经验. 娃哈哈,未尝不好~


类别：Note 查看评论]]> 2009年09月22日 星期二 23:21 http://hi.baidu.com/sudami/blog/item/d19a6bdd02f363d38d10291b.html <![CDATA[[胡扯]网络杯垫底球队曝光照...]]>

昨天晚上T球很不和谐, 某人(非公司的人,以前离职的同学带过来踢球的人, 9号,技术不咋地,倒是人品极差) 踢脏球, 还打电话要找人来砍人,差点打了群架,人最后没事,那小子最后从车里拿出大铁棒,把某车给砸了! 麻痹的, 哎,一个老鼠坏一锅汤!

网络杯, 貌似网易,腾讯,搜狐,百度等公司球队都参加,不过本公司球队貌似练大场很少. 今年又要被虐了.


类别：胡扯 查看评论]]> 2009年09月17日 星期四 16:17 http://hi.baidu.com/sudami/blog/item/71c692ca02bb1b4cf21fe7d4.html <![CDATA[[原创]微点主动防御软件_逆向_idb]]> sudami
2009/08/24
--------------------------------------------------

"微点主动防御软件" 算是一款比较强悍的主防程序,用到许多非常猥琐\先进又产品级的技术.它在2005年就已被研发出来,只是没多少人关注,但防范未知病毒木马的能力确实非常强悍.在2008年11月份,我大致看了下它包含的13个驱动, 逆了一部分,从中学到了部分知识,但只是冰山一角.后来由于种种原因,没再碰它了. 奉上以前逆向的部分成果,供参考!

从本资料中您可能获取到如下某些技巧:

1. 加密解密函数
2. IAT HOOK / EAT HOOK / 深度Call Hook / Inline Hook / (Shadow)SSDT Hook及其复杂的处理
3. 部分win32k.sys中的未公开结构及其微点对ShadowSSDT中为公开函数的引用/处理
(比如判断窗体的合法性,并进行可疑度打分)
4. 栈回溯的无所不用其极的极致发挥 / 栈劫持来回滚木马的危害行为
5. 自定义的结构体中的评分机制
6. 瞬间HOOK及其摘除Hook的技巧
7. 对远程线程注入的防范原理
8. 对驱动加载的拦截点及其原理
9. 一种巧妙的混淆IDA的花的运用
10. 驱动间的数据交互 / 内核DLL技术
11. 如何判断当前程序行为的可疑度
12. etc...

btw: 13个驱动中有些驱动的idb我删除了,毕竟不好亮全,自己看看就成. 请详细参见每个目录中的*.txt.c文件

相关参考:
   [1] Bypass 微点主动防御软件
   [2] 微点对MmLoadSystemImage的处理
   [3] 微点在检测IFEO方面好脆弱

微点.IDB-new.090101.V 1.10026_sudami.rar (1.1 MB) | DownLoad
声明: 本文仅供技术参考，请勿用于非法或商业用途，否则由此引发的纠纷本人概不负责。

类别：Note 查看评论]]> 2009年08月24日 星期一 13:34 http://hi.baidu.com/sudami/blog/item/47b2ac50e26316551038c2ed.html <![CDATA[[note]Protect and Restore Hive file_SRC]]>      I had reserved the Demo named "Tool for Protect and Restore regedit" half a year ago, but now it is useless to me. I think may be this ugly code could give you some informations,eg: IAT HOOK, how to get sectors for Hive file, SCSI command for read write disk, how to redirect data to other sectors. etc.

Links:

http://www.debugman.com/read.php?tid=3570&page=1&toread=1
http://hi.baidu.com/sudami/blog/item/d07e94139e4ccb0a5aaf539e.html
http://www.debugman.com/read.php?tid=2849&page=e&#a

It is an interesting thing for me to study Multi-point restore,oho.

逆向sysnap注册表还原_src.V 1.08.rar (218.07 KB) | Reverse_Sysnap_RegeditRestore_src.V%201.08.rar


类别：Note 查看评论]]> 2009年08月07日 星期五 21:53 http://hi.baidu.com/sudami/blog/item/53e8e6cc5ea2121901e928de.html <![CDATA[[胡扯]步入社会要学会如何生存]]>        昨天晚上因为一些琐事,心烦,于是和老妈QQ语音聊天,心情顿时舒畅. 老妈讲的一些道理,让我在成长的过程中逐渐学会做人的基本常识! 记录下来,定期提醒自己:

       步入社会,经过几件事儿,有了些教训. 纵然你心善耿直但不要指望别人都是如此. 林子大了什么样的鸟都有,尤其是当存在巨大的利益冲突时,人性丑陋的一面会表现的淋漓精致. 即使没有利益冲突,也会因为种种原因诸如他人莫名的嫉妒,性格的不合,未满足他人可笑的自尊,措辞的不严谨,他人不健康的心态等,而"得罪"他人,故说话做事得考虑前因后果,思而后行.

       任何人在一定的环境下不可能一下子便站到最高处,必有寄人篱下之时! 在靠自己能力奋斗的过程中必须提防一些耍手段排挤你的小人. 害人之心不可有,防人之心不可无! 这种人未必定义为小人,可以解释为想利用一切办法达到目的而不择手段之人. 这类人在任何一个环境下都存在(公司,学校,事业单位), 要学会如何和这类人相处而又不受伤害!

      在强者和弱者的对话中,处于下风的自然是弱者.不要渴望得到怜悯,对方的心狠手辣更要让你愤怒的同时知道世态炎凉的道理,要让自己变得更强大更圆滑! 让对手敬畏你比让他憎恨你更可怕!

1. 无论一件事多么失败,都要从中看到一线曙光,一丝希望.

2. 面善者非心善者. 提防笑里藏刀之人. 人心冷淡,要学会保护自己,让自己不受制于人.

3. 对付阴人者, 同样得玩阴的.而且不要得罪对方,又能很好的维护自己的利益.

4. 为人处事,不要太张扬,溢于言表. 即使你心中很厌恶此人,见了面依然要友善,即使虚伪也无妨,展示出平易近人,不卑不亢,甚至是很客气很尊敬的姿态. 记住,这样只有好处,没有坏处!

5. 与人为善,直率坦诚! 但不能对任何人都是如此,任何时候都要有所保留! 见什么样的人说什么样的话!

以上是我刚离开校园,步入社会后的一些深刻感触.当然,这些文字不是写着玩儿的,是得时刻提醒自己去这样为人处事的,步入社会要学会如何生存!


类别：胡扯 查看评论]]> 2009年08月07日 星期五 13:26 http://hi.baidu.com/sudami/blog/item/eae8e444b5d7c48bb3b7dc46.html <![CDATA[[note]Kill_KV2008.sudami.2008.03.23_SRC]]> Windbg调试某XX一下午,算法实在让人吐血. 然后上debugman看看,发现有人还在苦恼的分析sudami.exe,就是我去年初学驱动写的杀江民2008的恶意程序(hi.baidu.com/sudami/blog/item/a0f114dac68fe3dfb6fd481a.html). 于是翻翻硬盘,在某个角落里找到了源码. 丢上去一份. 免得后来人再看到,又得倒霉... 放到这里了:www.debugman.com/read.php

代码风格混乱,看了吐血的不要骂我!!

Kill_KV2008.sudami.2008.03.23_src.rar (178.92 KB)

btw:
不知道RAR密码的同学参考下面这个图片!汗,注释要看仔细啊!


类别：Note 查看评论]]> 2009年07月30日 星期四 17:54 http://hi.baidu.com/sudami/blog/item/b6da33097c6a2aa62eddd4ff.html <![CDATA[[note]基于注册表Hive格式的解析/删除/增加, 程序界面+完整源码]]> 今年过年时候写的RegHive v1.02,很老了,放下源工程, 呵呵,稳定性不高,不过有码参考相信诸位同学一定能写出比我更好的作品.

相关参考:
http://hi.baidu.com/sudami/blog/item/d4340908ff05cb920a7b8225.html
http://www.debugman.com/read.php?tid=3308&toread=1

注册表Hive解析_删除_增加_修改.完整工程.sudami.rar (290.01 KB) | RegHive_src.rar

BTW:
有的同学不清楚HIVE等概念.放些资料科普:

【原创】也谈rootkit 注册表信息隐藏.rar (297.9 KB)
forensic-analysis-windows-registry.rar (109.39 KB)

基于注册表Hive文件的恶意程序隐藏检测方法.rar (186.99 KB)


类别：Note 查看评论]]> 2009年06月19日 星期五 14:38 http://hi.baidu.com/sudami/blog/item/32f790623b11f4d4e7113a07.html <![CDATA[[note]基于Windows内核层的Anti-Rootkits研究及其实现]]> 匆匆大学四年还有几天结束,为了完成任务,写了篇毕设,答辩走走过场,没什么意思.
想想写论文也花费了些时间,没怎么得到评委们的认可! 关键是那些老师不懂,我也很无语...
还不如共享一下,写得很拙劣,将就看看还成

基于Windows内核层的Anti-Rootkits研究及其实现.rar (966.73 KB) | Anti-Rootkits_Graduation_Thesis.pdf


类别：Note 查看评论]]> 2009年06月19日 星期五 10:16 http://hi.baidu.com/sudami/blog/item/b40835cfc3bf8f34f8dc61d3.html <![CDATA[[胡扯]搜狗输入法也开始耍流氓了。。。]]>

搜狗输入法也开始流氓了。先粘住用户，再适度的弹广告。。。

突然发现QQ现在很强大，什么QQ游戏（DNF,穿越火线）、QQ旋风（没广告跟迅雷差不多）、QQ输入法、腾讯TT浏览器、QQ影音播放器（比垃圾暴风强悍好多，用起来超级爽）、QQ音乐播放器、QQ邮箱（比163邮箱好多了，目前邮箱中最强大的，我是忠实用户）。。。 太恐怖了，这样下去，用户必定形成依赖，只要腾讯出一个同类产品，就给同行带来极大的压力，因为腾讯有用户这个基础，再加上简洁易用的特点，不让竞争对手胆寒是不可能的。。。

再过一个月就毕业，不能在学校看美女真遗憾，不能想踢球就踢球挺遗憾，不能再和同学一起猥琐挺遗憾，一周5天班的日子即将临近挺遗憾。。。

猫的操 的什么WINDOWS内核情景分析太贵，而且就是解读源码，不知道我会不会买。。。

现在对挖掘window内核挺感兴趣的，比如网上资料很少的一些东西，wy同学现在也在研究这块，比如ntldr启动那段时期对注册表的初始化，windows是怎样将hive在磁盘上的结构和内存中结构关联起来。ntfs在内存中的组织，启动过程中csrss中的一些东西。对调试器也挺感兴趣，windbg写脚本调试很爽很强大，比如昨天写了个简单的脚本在windows启动时winlogon.exe创建指定port的地方断下来：

r $t0 = poi(esp+8)
r $t1 = @@C++( ((nt!_OBJECT_ATTRIBUTES*)@$t0)->ObjectName )
r $t2 = 0
r $t3 = 0x0a        

.if( @$t1==0 )
{
    r $t2=0
}
.else
{
    .if( @@C++( ((_UNICODE_STRING*)@$t1)->Buffer ) != 0 )
    {
        r $t5 = @@C++( ((nt!_UNICODE_STRING*)@$t1)->Buffer )
        as /mu ${/v:name} @@C++( ((nt!_UNICODE_STRING*)@$t1)->Buffer )

        .block
        {
            .if( $spat( "${name}", "*SbApiPort" ) )
            {
                .echo '-- ok --'
                .printf /ow "%mu",@$t5;
                r $t2=1;
            }
            .else
            {
                .printf /ow "%mu",@$t5;
                r $t2=0;
            }

            ad {/v:$name}
        }
    }
}

ntice.sys真让人晕，很不爽的是在用windbg调试softice的boot0驱动时，能调试一小段，但在某个函数call xx跟进的时候eip就乱掉了，就是说int 3把ntice.sys内部破坏了。看来用 调试器 去调试 另一个调试器没那么简单。ntice.sys只能静态看看了。intel手册是好东西，我们应该提倡多看intel手册，多看WRK、ReactOS，多用调试器调试程序、驱动、内核，多用google英文版查阅资料。无聊了就出去运动运动，看看美女，YY一下。 生活啊～～～

坚持每个月买本 《环球科学》杂志。

毕业后可以专注于工作，不用再想什么考试之类的。所以会和同事一起做点儿东西，比如调试器之类的。。。

以后没心思写文章了，故BLOG不会经常更新，多谢光临寒舍的同学们的支持。。。

随便乱写，北京现在下午6点以后的天气相当好，适合户外运动，哈哈，今天休息，看看电影，玩玩QQ的穿越火线中的生化模式，下午到了6点去球场T球，有个叫“大个儿”的，踢球相当强，跟小罗一个风格，林大踢球他是最厉害的了，他每天都去踢，哈哈。。。


类别：胡扯 查看评论]]> 2009年06月03日 星期三 13:08 http://hi.baidu.com/sudami/blog/item/f02544e9e795c737b80e2db7.html <![CDATA[[胡扯]林大的女人真强悍]]>    原来我一直都不知道啊。只是晚上T完球后，去女生那边的商店买点儿喝的，太淫荡了太淫荡了。。。

链接：bbs.dengtian.com/viewthread.php


类别：胡扯 查看评论]]> 2009年05月13日 星期三 13:42 http://hi.baidu.com/sudami/blog/item/4434643fad76cae454e723d2.html <![CDATA[[note]NTFS文件系统底层挖掘]]> NTFS文件系统的底层实现细节,网上资料很少. 这几天突然来了兴趣,于是挖掘了一下.
结合nt4src,IDA+ntfs.sys,windbg+VMWare,在XP SP2下,深入理解了一些NTFS文件系统相关知识.比如逆向搞到了VCB/FCB/LCB/SCB/BCB等结构体,文件打开/枚举/删除操作的流程,缓存管理器/虚拟内存/IO管理器之间的交互.

KeyWord: VACB, XCB, NTFS, Cache

1.下面是我调试过程中总结的一张XCB之间的关系图 :

   NTFS.sys在初始化时,填充分发例程:
   DriverObject->MajorFunction[IRP_MJ_FILE_SYSTEM_CONTROL] = (PDRIVER_DISPATCH)NtfsFsdFileSystemControl;
   IoCreateDevice将创建的设备对象和全局变量NtfsData关联起来,在设备扩展中包含卷控制块(VCB).

   (1) IopMountVolume中会挂接相应的卷,填充IRP,发给NTFS.sys:
       irpSp->MajorFunction = IRP_MJ_FILE_SYSTEM_CONTROL;
       irpSp->MinorFunction = IRP_MN_MOUNT_VOLUME;
     
   (2) NtfsFsdFileSystemControl --> NtfsCommonFileSystemControl --> NtfsMountVolume
      主要在初始化该卷的VCB结构,通过NtfsOpenRootDirectory,创建了根目录的FCB,LCB,SCB.

2.[XP SP2] 在windbg中调试逆向得到XCB结构


4. 跟踪系统打开文件的流程(仅仅跟踪到文件系统层面,下方的卷设备/disk/atapi/PCHIINDEX 暂不讨论)

NtfsCommonCreate在经过复杂的操作到达NtfsOpenFile后,必定是要打开已经存在的文件.否则会调用NtfsCreateNewFile创建新文件.可能没人引用过C:\WINDOWS\system32\mycomput.dll,那么系统的FcbTable就没有该文件对应的FCB,这时就需要NtfsOpenFile函数去创建该文件对应的Fcb,建立LCB和父目录的SCB的联系,然后加入到表中去:


5.嗯,原理了解了,来实践一下简单的NTFS文件系统底层文件劫持吧.
   [xp sp2下函数的执行流程如下]
   NtfsCommonCreate-->NtfsCreateNewFile-->NtfsCreateFcb-->ExAllocatePoolWithTag  
   NtfsCommonCreate-->NtfsOpenFile-->NtfsCreateFcb-->ExAllocatePoolWithTag  
         [未导出]          [未导出]        [未导出]            [已导出]
  系统会频繁查表,添加移除FCB.可瞬间挂勾此函数,栈回溯得到NtfsCreateFcb/ NtfsOpenFile /
   NtfsCheckValidAttributeAccess 等函数的地址.卸掉钩子
Ntfs!NtfsCreateFcb:
   f974da0f e87eb5fdff      call     Ntfs!NtfsAllocateEresource (f9728f92)
   f974da14 894648          mov      dword ptr [esi+48h],eax
   f974da17 8945d8          mov      dword ptr [ebp-28h],eax
   f974da1a 684e744673      push     7346744Eh            // 重要标记"ntfs"
   f974da1f 6a20            push     20h                  // 进行特征匹配
   f974da21 6a10            push     10h
   f974da23 ff1514ae73f9    call     dword ptr [Ntfs!_imp__ExAllocatePoolWithTag (f973ae14)]
  // ExAllocatePoolWithTag((POOL_TYPE)16, 0x20u, 'sFtN');

我挂钩下面这个函数,保护c:\sudami.txt不被打开/写入/删除. 金山&360文件粉碎机/XueTr/IceSword均无法删除.

VOID fake_NtfsCheckValidAttributeAccess()
/*++
Author: sudami [sudami@163.com]
Time   : 2009/04/30 [30:4:2009 - 12:45]
Routine Description:
   [xp sp2]
   有种情况会调用NtfsCheckValidAttributeAccess 函数
     NtfsOpenFcbById    // 这种情况太少了...
     NtfsCommonCreate --> NtfsOpenExistingPrefixFcb // 若文件被打开过一次,就不走下面的函数,经过这里
     NtfsCommonCreate --> NtfsOpenFile       // 第一次打开这个文件
     NtfsCommonCreate --> NtfsCreateNewFile      // 创建新文件
--*/

仅一点儿调试心得,不对的地方敬请指正.
-----------------------------------------------------------------------
参考资料：
   (1) 挂接缓存管理器CcMapData()实现文件XX
   (2) NTFSI--the NT Cache Manager
   (3) 基于IopXX的重定向文件)
   (4)windbg, nt4src
HijackFile.rar (8.51 KB) 保护文件的驱动

类别：Note 查看评论]]> 2009年04月28日 星期二 23:29 http://hi.baidu.com/sudami/blog/item/b7b520382ed51e2b97ddd824.html <![CDATA[[note]逆向diyhack同学的注册表重定向]]>     最近一段时间复习高等数学,工作以外基本没什么时间,看到又一个注册表还原程序([diyhack]注册表重保护程序),和之前sysnap同学(link)的实现原理完全不同,于是挤时间看了下,流程如下:

1. 创建符号链接 "\\DosDevices\\REGREDIRECT_DeviceName"
2. PsCreateSystemThread创建系统线程,填充context为系统进程PID (4 / 8). 线程中干的事情:
/*++

Reserver: sudami [sudami@163.com]
Time : 2009/04/14 [14:4:2009 - 14:58]

Routine Description:
调用NtQuerySystemInformation获取系统拥有的句柄信息,找到注册表文件system的文件句柄.创建键值 "\\REGISTRY\\USER\\.DEFAULT\\Volatile\\",通过ZwRestoreKey将system文件load 到这个键下,以后对system文件的读写,都会重定向到该键.

[+] diyhack同学为什么要用MJ同学的方法 - 由于"\WINDOWS\system32\config\system"文件
的CCB偏移+0x004处FLAG(00012003)的第5位存在,区别于其他文件基于这点来判断.
但是要考虑到兼容性,何必这样做呢?直接判断FILE_OBJECT中的name不就成了吗?

Arguments:
currentPID - 线程的context,传递的是DriverEntry中得到的系统进程ID

--*/

3. 进行object type hook CmParaseKey,进行重定向:
/*++

Reserver: sudami [sudami@163.com]
Time : 2009/04/14 [14:4:2009 - 14:58]

Routine Description:
打开对象"ObjectTypes\Key",获得handle,从而得到对象体(nt!_OBJECT_TYPE),
_OBJECT_TYPE._OBJECT_TYPE_INITIALIZER.ParseProcedure即使要替换的地方
典型的Object Tpye HOOK,在fake函数中会进行重定向处理

--*/

4. fake函数中的处理过程如下:
/*++
Reverser: sudami [sudami@163.com]
Time : 2009/04/14 [14:4:2009 - 15:33]

Routine Description:
负责对system这个hive代表的注册表键(HKEY_LOCAL_MACHINE\SYSTEM)进行重定向.
主要关注的是CmParaseKey的参数六(@CompleteName),这个unicode_string中包含的即是当前正在操作的注册表全路径,格式形如: "SOFTWARE\Policies\Microsoft\Windows NT\DCOM". 因为保护的是system下的所有子键,"system"这个宽字符的长度为12; 过滤条件分2种情况:                                                                                
(1) @CompleteName.Length 为12,且操作的是"system"父键,先释放@CompleteName.Buffer,再分配内存填充重定向内容,完成后的效果如下:
    kd> dt nt!_unicode_string f94693a8
    nt!_UNICODE_STRING
      "\REGISTRY\USER\.DEFAULT\Volatile"
         +0x000 Length : 0x40
         +0x002 MaximumLength : 0x42
         +0x004 Buffer : 0xe1825ee8 "\REGISTRY\USER\.DEFAULT\Volatile"
成功返回STATUS_REPARSE,给ObpLookupObjectName函数看的.

(2) @CompleteName.Length >= 14, 即操作的"system"下的子键(eg."SYSTEM\CurrentControlSet"),操作和上面相似.
更改后的内容即为 "\REGISTRY\USER\.DEFAULT\Volatile\CurrentControlSet"
若不满足以上条件,调用原始函数,放行...

--*/
---------------------------------------------------------------------------------------
之所以diyhack同学说可以动态还原到保护之前的状态,我想是因为可以save "\REGISTRY\USER\.DEFAULT\Volatile" 成hive,再restore到真正的system键下...
和sysnap同学的有所不同,那个是写到cache中,但不让其写入磁盘文件,而刷新cache只能重新启动后才会有效果...

详细信息请参见PDB,注释精度精确到每个变量 / 跳转. 由于是古老的object type hook,以前写过,所以懒得完全按照原作者的风格逆成C, 各位想了解原理的,将就着看看...

CCB结构貌似在不同的系统版本中有所变化,还望大牛们多多分享已经逆出来的结构体,

k5f0_4f0.sys.IDB.sudami.rar (695.05 KB)


类别：Note 查看评论]]> 2009年04月14日 星期二 21:08 http://hi.baidu.com/sudami/blog/item/852cc318de59b7bc4aedbc06.html <![CDATA[[note]完整逆向Sysnap同学的注册表还原工具]]> 在debugman上恰巧看到sysnap同学发的一个还原注册表的demo([工具]注册表保护),既然涉及到磁盘解析之类的,我顿时来了兴趣,于是简单看了下, IDA+WINDBG.如下:

总体来说,有点儿大题小做~

-----------------------------------------------------------------------------------------------------------------
逆向Sysnap同学的注册表还原工具所带驱动.完成为C源码,编译后可正常替换原驱动,且新驱动和源驱动代码相似度为98%. 其中设计了一个简单的单向链表,来存储受保护文件,可动态扩充

code逆的很烂,就不放了(若相关大牛做过注册表还原,可以交流代码,相互提高) 不过这个驱动的idb,是我逆向有史以来,注释最仔细的,几乎每个细节都注释了,所以放一个IDB在这里,供需要学习注册表还原的同学参考.

若您想进一步了解磁盘还原知识, 可以逆下国内外一些常见的还原软件(ShadowUser / 雨过天晴 / ...)

sudami.rar (117.36 KB)


类别：Note 查看评论]]> 2009年03月30日 星期一 20:18 http://hi.baidu.com/sudami/blog/item/d07e94139e4ccb0a5aaf539e.html