控制程式碼表篇——程式控制程式碼表

寂靜的羽夏發表於2022-01-19

寫在前面

  此係列是本人一個字一個字碼出來的,包括示例和實驗截圖。由於系統核心的複雜性,故可能有錯誤或者不全面的地方,如有錯誤,歡迎批評指正,本教程將會長期更新。 如有好的建議,歡迎反饋。碼字不易,如果本篇文章有幫助你的,如有閒錢,可以打賞支援我的創作。如想轉載,請把我的轉載資訊附在文章後面,並宣告我的個人資訊和本人部落格地址即可,但必須事先通知我

你如果是從中間插過來看的,請仔細閱讀 羽夏看Win系統核心——簡述 ,方便學習本教程。

  看此教程之前,問幾個問題,基礎知識儲備好了嗎?保護模式篇學會了嗎?系統呼叫篇學會了嗎?練習做完了嗎?沒有的話就不要繼續了。


? 華麗的分割線 ?


控制程式碼

  控制程式碼是一種核心物件,當一個程式建立或者開啟一個核心物件時,將獲得一個控制程式碼,通過這個控制程式碼可以訪問核心物件。

HANDLE g_hMutex = ::CreateMutex( NULL , FALSE, "XYZ");
HANDLE g_hMutex = ::OpenMutex( MUTEX_ALL_ACCESSFALSE, "XYZ");
HANDLE g_hEvent = ::CreateEvent( NULL, TRUE, FALSE, NULL);
HANDLE g_hThread = ::CreateThread( NULL, 0, Proc,NULL, 0, NULL);

  那麼,控制程式碼到底是何方神聖?為什麼作業系統要使用這個控制程式碼?控制程式碼存在的目的是為了避免在應用層直接修改核心物件,而控制程式碼就是一個索引,通過這個索引,我就可以在核心輕鬆找到對應的核心物件結構體的地址。
  注意,我在這裡強調一下 控制程式碼是給3環用的,而不是給核心用的 。所以在寫驅動的時候,不要搞控制程式碼花裡胡哨的東西。Windows所有涉及控制程式碼的API,一旦到了真正函式實現的部分,就立刻使用ObReferenceObjectByHandle把它轉化為真正的指向核心物件的指標,舉個例子,由於篇幅,只列出開頭部分:

; int __stdcall PspCreateProcess(int, ACCESS_MASK DesiredAccess, int, HANDLE Handle, int, HANDLE, HANDLE, HANDLE, int)
_PspCreateProcess@36 proc near          ; CODE XREF: NtCreateProcessEx(x,x,x,x,x,x,x,x,x)+72↓p
                                        ; PsCreateSystemProcess(x,x,x)+1B↓p ...

; __unwind { // __SEH_prolog
                push    11Ch
                push    offset stru_402EB0
                call    __SEH_prolog
                mov     eax, large fs:124h
                mov     [ebp+var_84], eax
                mov     cl, [eax+140h]
                mov     [ebp+AccessMode], cl
                mov     eax, [eax+44h]
                mov     [ebp+RunRef], eax
                xor     esi, esi
                mov     [ebp+var_1D], 0
                mov     [ebp+var_48], esi
                mov     [ebp+var_44], esi
                test    [ebp+arg_10], 0FFFFFFF0h
                jnz     short loc_4EFB0B
                cmp     [ebp+Handle], esi
                jz      short loc_4EFB1A
                push    esi             ; HandleInformation
                lea     eax, [ebp+Object]
                push    eax             ; Object
                push    dword ptr [ebp+AccessMode] ; AccessMode
                push    _PsProcessType  ; ObjectType
                push    80h ; '€'       ; DesiredAccess
                push    [ebp+Handle]    ; Handle
                call    _ObReferenceObjectByHandle@24 ; ObReferenceObjectByHandle(x,x,x,x,x,x)
                mov     ecx, [ebp+Object] ; Object
                mov     [ebp+var_1C], ecx
                cmp     eax, esi
                jl      loc_4F01FB
                cmp     [ebp+arg_20], esi
                jz      short loc_4EFB15
                cmp     [ecx+134h], esi
                jnz     short loc_4EFB15
                call    @ObfDereferenceObject@4 ; ObfDereferenceObject(x)

loc_4EFB0B:                             ; CODE XREF: PspCreateProcess(x,x,x,x,x,x,x,x,x)+3D↑j
                mov     eax, 0C000000Dh
                jmp     loc_4F01FB
; ---------------------------------------------------------------------------

  下面是微軟官方對ObReferenceObjectByHandle的解釋:

The ObReferenceObjectByHandle routine provides access validation on the object handle, and, if access can be granted, returns the corresponding pointer to the object's body.

控制程式碼表

  上面介紹了控制程式碼是什麼,我們來介紹控制程式碼表這個東西。不加特殊說明,我們所說的控制程式碼表是程式控制程式碼表。那麼控制程式碼表在哪裡呢?看下面的結構體:

kd> dt _EPROCESS
ntdll!_EPROCESS
   +0x000 Pcb              : _KPROCESS
   +0x06c ProcessLock      : _EX_PUSH_LOCK
   +0x070 CreateTime       : _LARGE_INTEGER
   +0x078 ExitTime         : _LARGE_INTEGER
   +0x080 RundownProtect   : _EX_RUNDOWN_REF
   +0x084 UniqueProcessId  : Ptr32 Void
   +0x088 ActiveProcessLinks : _LIST_ENTRY
   +0x090 QuotaUsage       : [3] Uint4B
   +0x09c QuotaPeak        : [3] Uint4B
   +0x0a8 CommitCharge     : Uint4B
   +0x0ac PeakVirtualSize  : Uint4B
   +0x0b0 VirtualSize      : Uint4B
   +0x0b4 SessionProcessLinks : _LIST_ENTRY
   +0x0bc DebugPort        : Ptr32 Void
   +0x0c0 ExceptionPort    : Ptr32 Void
   +0x0c4 ObjectTable      : Ptr32 _HANDLE_TABLE

  這個結構體我們之前接觸過,由於這個結構體十分龐大,只顯示了一部分。在0xc4這個偏移就是存放控制程式碼表的。我們來看看它的結構是什麼:

kd> dt _HANDLE_TABLE 
ntdll!_HANDLE_TABLE
   +0x000 TableCode        : Uint4B
   +0x004 QuotaProcess     : Ptr32 _EPROCESS
   +0x008 UniqueProcessId  : Ptr32 Void
   +0x00c HandleTableLock  : [4] _EX_PUSH_LOCK
   +0x01c HandleTableList  : _LIST_ENTRY
   +0x024 HandleContentionEvent : _EX_PUSH_LOCK
   +0x028 DebugInfo        : Ptr32 _HANDLE_TRACE_DEBUG_INFO
   +0x02c ExtraInfoPages   : Int4B
   +0x030 FirstFree        : Uint4B
   +0x034 LastFree         : Uint4B
   +0x038 NextHandleNeedingPool : Uint4B
   +0x03c HandleCount      : Int4B
   +0x040 Flags            : Uint4B
   +0x040 StrictFIFO       : Pos 0, 1 Bit

  TableCode就是所謂的控制程式碼表,但控制程式碼表是有結構的,下面我們來看看它的結構:

控制程式碼表篇——程式控制程式碼表

  ①:這一塊共計兩個位元組,高位位元組是給SetHandleInformation這個函式用的,比如寫成如下形式,那麼這個位置將被寫入0x02

`SetHandleInformation(Handle,HANDLE_FLAG_PROTECT_FROM_CLOSE,HANDLE_FLAG_PROTECT_FROM_CLOSE);`

  HANDLE_FLAG_PROTECT_FROM_CLOSE巨集的值為0x00000002,取最低位元組,最終 ① 這塊是0x0200
  ②:這塊是訪問掩碼,是給OpenProcess這個函式用的,具體的存的值就是這個函式的第一個引數的值。
  ③ 和 ④ 這兩個塊共計四個位元組,其中bit0-bit2存的是這個控制程式碼的屬性,其中bit2bit0預設為01; bit1表示的函式是該控制程式碼是否可繼承,OpenProcess的第二個引數與bit1有關,
bit31-bit3則是存放的該核心物件在核心中的具體的地址。

上述控制程式碼的結構沒有官方公開化文件,是經過逆向分析得到,如果以後如有本文沒有的,可以根據自己的需要進行逆向分析。

控制程式碼表結構

  控制程式碼表的結構還是比較複雜的,具體結構如下:

控制程式碼表篇——程式控制程式碼表

  TableCode從上圖可知,指明控制程式碼表的級數,如果低兩位是0,那麼指向的控制程式碼表裡面存放的就是真正的控制程式碼;如果低兩位是1,那麼指向的第一張控制程式碼表的每一個成員都是一個地址,每一個地址指向每一個真正的控制程式碼表,以此類推低兩位是2的情況。

控制程式碼表索引查詢

  既然我們瞭解了結構,我們來看看如何通過控制程式碼查詢對應的結構體地址,首先我們的測試程式碼如下:

#include "stdafx.h"
#include <stdlib.h>
#include <windows.h>

int main(int argc, char* argv[])
{
   int pid;
   printf("請輸入程式的pid:");
   scanf("%d",&pid);
   HANDLE hprocess=OpenProcess(PROCESS_ALL_ACCESS,FALSE,pid);
   if (hprocess==INVALID_HANDLE_VALUE)
   {
      puts("程式控制程式碼無效!!!");
   }
   else
   {
      printf("開啟程式獲得控制程式碼成功!控制程式碼為:%d\n",hprocess);
   }
   system("pause");
   CloseHandle(hprocess);
   return 0;
}

  然後我開啟了一個notepad程式,從工作管理員找到它的PID,輸入進去,得到輸出十進位制的2024
  然後我們輸入指令獲取我們寫程式碼執行的程式的EPROCESS結構體:

kd> !process 0 0
**** NT ACTIVE PROCESS DUMP ****
Failed to get VadRoot
PROCESS 89b6a7e8  SessionId: 0  Cid: 0110    Peb: 7ffd5000  ParentCid: 05f4
    DirBase: 13a40260  ObjectTable: e1cef910  HandleCount:  46.
    Image: notepad.exe
    
Failed to get VadRoot
PROCESS 89b84500  SessionId: 0  Cid: 0640    Peb: 7ffdf000  ParentCid: 06fc
    DirBase: 13a40320  ObjectTable: e1d84558  HandleCount:  22.
    Image: HandleTest.exe

  然後我們讀取HandleTest.exe,也就是我們呼叫OpenProcess函式的程式,找到它的控制程式碼表( …… 表示省略):

kd> dt _EPROCESS 89b84500
ntdll!_EPROCESS
   +0x000 Pcb              : _KPROCESS
   +0x06c ProcessLock      : _EX_PUSH_LOCK
   +0x070 CreateTime       : _LARGE_INTEGER 0x01d80d3a`c4dffca0
   +0x078 ExitTime         : _LARGE_INTEGER 0x0
   +0x080 RundownProtect   : _EX_RUNDOWN_REF
   +0x084 UniqueProcessId  : 0x00000640 Void
   +0x088 ActiveProcessLinks : _LIST_ENTRY [ 0x899782d8 - 0x89b24470 ]
   +0x090 QuotaUsage       : [3] 0x460
   +0x09c QuotaPeak        : [3] 0x650
   +0x0a8 CommitCharge     : 0x41
   +0x0ac PeakVirtualSize  : 0x824000
   +0x0b0 VirtualSize      : 0x7b2000
   +0x0b4 SessionProcessLinks : _LIST_ENTRY [ 0x89978304 - 0x89b2449c ]
   +0x0bc DebugPort        : 0x89b16020 Void
   +0x0c0 ExceptionPort    : 0xe13a3f08 Void
   +0x0c4 ObjectTable      : 0xe1d84558 _HANDLE_TABLE
   ……

kd> dx -id 0,0,805539a0 -r1 ((ntdll!_HANDLE_TABLE *)0xe1d84558)
((ntdll!_HANDLE_TABLE *)0xe1d84558)                 : 0xe1d84558 [Type: _HANDLE_TABLE *]
    [+0x000] TableCode        : 0xe1f97000 [Type: unsigned long]
    [+0x004] QuotaProcess     : 0x89b84500 [Type: _EPROCESS *]
    [+0x008] UniqueProcessId  : 0x640 [Type: void *]
    [+0x00c] HandleTableLock  [Type: _EX_PUSH_LOCK [4]]
    [+0x01c] HandleTableList  [Type: _LIST_ENTRY]
    [+0x024] HandleContentionEvent [Type: _EX_PUSH_LOCK]
    [+0x028] DebugInfo        : 0x0 [Type: _HANDLE_TRACE_DEBUG_INFO *]
    [+0x02c] ExtraInfoPages   : 0 [Type: long]
    [+0x030] FirstFree        : 0x7dc [Type: unsigned long]
    [+0x034] LastFree         : 0x0 [Type: unsigned long]
    [+0x038] NextHandleNeedingPool : 0x800 [Type: unsigned long]
    [+0x03c] HandleCount      : 22 [Type: long]
    [+0x040] Flags            : 0x0 [Type: unsigned long]
    [+0x040 ( 0: 0)] StrictFIFO       : 0x0 [Type: unsigned char]

  我們看看這裡控制程式碼表存的是什麼:

kd> dq 0xe1f97000
ReadVirtual: e1f97000 not properly sign extended
e1f97000  fffffffe`00000000 00000000`00000000
e1f97010  00000004`00000000 00000008`00000000
e1f97020  0000000c`00000000 00000010`00000000
e1f97030  00000014`00000000 00000018`00000000
e1f97040  0000001c`00000000 00000020`00000000
e1f97050  00000024`00000000 00000028`00000000
e1f97060  0000002c`00000000 00000030`00000000
e1f97070  00000034`00000000 00000038`00000000

  如何根據控制程式碼查詢對應的結構體地址呢?首先我們對得到的控制程式碼進行除4就是索引。即我們偏移就是得到的控制程式碼乘2,我們來看看示例:

kd> dq 0xe1f97000+FD0
ReadVirtual: e1f97fd0 not properly sign extended
e1f97fd0  001f0fff`89b6a7d1 021f0001`e1d4a1f9
e1f97fe0  000f000f`e14134b1 000007b8`00000000
e1f97ff0  00000003`e14114e9 000f0003`e1009681

  注意,最後兩位是控制程式碼表的屬性,我們需要清零才能得到結構體的地址,也就是0x89b6a7d0就是結構體的地址,但是,這個結構體指向的不是EPROCESS,而是_OBJECT_HEADER結構體,這個是每一個核心物件都有的,被稱為物件頭:

kd> dt _OBJECT_HEADER
nt!_OBJECT_HEADER
   +0x000 PointerCount     : Int4B
   +0x004 HandleCount      : Int4B
   +0x004 NextToFree       : Ptr32 Void
   +0x008 Type             : Ptr32 _OBJECT_TYPE
   +0x00c NameInfoOffset   : UChar
   +0x00d HandleInfoOffset : UChar
   +0x00e QuotaInfoOffset  : UChar
   +0x00f Flags            : UChar
   +0x010 ObjectCreateInfo : Ptr32 _OBJECT_CREATE_INFORMATION
   +0x010 QuotaBlockCharged : Ptr32 Void
   +0x014 SecurityDescriptor : Ptr32 Void
   +0x018 Body             : _QUAD

  也就是說,我們還需要對這個地址+0x18的偏移,我們來看看:

kd> dt _EPROCESS 89b6a7d0+0x018
ntdll!_EPROCESS
   ……
   +0x170 Session          : 0xbadca000 Void
   +0x174 ImageFileName    : [16]  "notepad.exe"
   +0x184 JobLinks         : _LIST_ENTRY [ 0x0 - 0x0 ]

  正好就是我們的notepad程式。
  控制程式碼表不是僅僅只有程式結構體控制程式碼,還有執行緒、檔案等控制程式碼,我們如何判斷呢?就是通過_OBJECT_HEADER這個結構體判斷的,如下指令所示:

kd> dt _OBJECT_HEADER 89b6a7d0
nt!_OBJECT_HEADER
   +0x000 PointerCount     : 0n16
   +0x004 HandleCount      : 0n3
   +0x004 NextToFree       : 0x00000003 Void
   +0x008 Type             : 0x89db0040 _OBJECT_TYPE
   +0x00c NameInfoOffset   : 0 ''
   +0x00d HandleInfoOffset : 0 ''
   +0x00e QuotaInfoOffset  : 0 ''
   +0x00f Flags            : 0x20 ' '
   +0x010 ObjectCreateInfo : 0x89cbdb98 _OBJECT_CREATE_INFORMATION
   +0x010 QuotaBlockCharged : 0x89cbdb98 Void
   +0x014 SecurityDescriptor : 0xe17b15f6 Void
   +0x018 Body             : _QUAD
kd> dx -id 0,0,805539a0 -r1 ((ntkrnlpa!_OBJECT_TYPE *)0x89db0040)
((ntkrnlpa!_OBJECT_TYPE *)0x89db0040)                 : 0x89db0040 [Type: _OBJECT_TYPE *]
    [+0x000] Mutex            : Unowned Resource [Type: _ERESOURCE]
    [+0x038] TypeList         [Type: _LIST_ENTRY]
    [+0x040] Name             : "Process" [Type: _UNICODE_STRING]
    [+0x048] DefaultObject    : 0x0 [Type: void *]
    [+0x04c] Index            : 0x5 [Type: unsigned long]
    [+0x050] TotalNumberOfObjects : 0x1a [Type: unsigned long]
    [+0x054] TotalNumberOfHandles : 0x68 [Type: unsigned long]
    [+0x058] HighWaterNumberOfObjects : 0x1b [Type: unsigned long]
    [+0x05c] HighWaterNumberOfHandles : 0x69 [Type: unsigned long]
    [+0x060] TypeInfo         [Type: _OBJECT_TYPE_INITIALIZER]
    [+0x0ac] Key              : 0x636f7250 [Type: unsigned long]
    [+0x0b0] ObjectLocks      [Type: _ERESOURCE [4]]

  我們通過Type裡面的Name屬性,很容易判斷出它是Process型別,也就是程式結構體。

本節練習

本節的答案將會在下一節進行講解,務必把本節練習做完後看下一個講解內容。不要偷懶,實驗是學習本教程的捷徑。

  俗話說得好,光說不練假把式,如下是本節相關的練習。如果練習沒做好,就不要看下一節教程了,越到後面,不做練習的話容易夾生了,開始還明白,後來就真的一點都不明白了。本節練習不多,請保質保量的完成。

1️⃣ 思考當我用函式開啟一個核心物件時,如果用CloseHandle,這個核心物件一定會被銷燬嗎?假設我用OpenProcess開啟了一個現有的程式,但開啟後,這個程式被關閉了,這個核心物件還存在嗎?
2️⃣ 使用迴圈開啟100次某個核心物件,分析控制程式碼表的結構;然後開啟1000次某個核心物件,繼續分析上述操作。

下一篇

  控制程式碼表篇——全域性控制程式碼表

相關文章