RootKit随手记(一)RootKit的驱动隐藏、读取配置、卸载安装

边学习边更新这专题，随手记录一下用到的思路，给自己看的(所以读者看可能有些懵，不好意思...)

RootKit随手记(一)RootKit的驱动隐藏、读取配置、卸载安装

一、驱动隐藏

1. 隐藏原理

　　一款好的ROOTKIT一定会隐藏自己，检测驱动时经过一串链表，该链表的结点在 DRIVER_OBJECT->DriverSection 中，数据结构如下图。

　　kd> dt _DRIVER_OBJECT
　　　　ntdll!_DRIVER_OBJECT
   　　　　+0x000 Type             : Int2B
   　　　　+0x002 Size             : Int2B
  　　　　 +0x004 DeviceObject     : Ptr32 _DEVICE_OBJECT
   　　　　+0x008 Flags            : Uint4B
   　　　　+0x00c DriverStart      : Ptr32 Void
   　　　　+0x010 DriverSize       : Uint4B
   　　　　+0x014 DriverSection    : Ptr32 Void
   　　　　+0x018 DriverExtension  : Ptr32 _DRIVER_EXTENSION

　　DriverSection指向了一个_LDR_DATA_TABLE_ENTRY结构体，该结构体我们在模块隐藏那里了解过.

　　这是R0环的地址，所以存储的是R0环的模块(驱动文件等)，与R3环的dll.exe文件可能不同。

　　kd> dt _LDR_DATA_TABLE_ENTRY
　　　　ntdll!_LDR_DATA_TABLE_ENTRY
   　　　　+0x000 InLoadOrderLinks : _LIST_ENTRY
   　　　　+0x008 InMemoryOrderLinks : _LIST_ENTRY
   　　　　+0x010 InInitializationOrderLinks : _LIST_ENTRY
　　因此，我们采用断链就很好的隐藏。

　　PDRIVER_DATA pDriverData = (PDRIVER_DATA)((DWORD32)pDriverObject + 20);
   　if (pDriverData != NULL) {
        // 从链表中删除该模块
        pDriverData->listEntry.Blink->Flink = pDriverData->listEntry.Flink; // 后一个的前指针指向前一个
        pDriverData->listEntry.Flink->Blink = pDriverData->listEntry.Blink;  // 前一个的后指针指向后一个

　　 }

2. 反制手段

　　清除一个设备条目，将会被anti-rootkit发现。可以采用挂钩内核函数来检测设备驱动的不一致性。

3.反反制手段

　　可以通过修改原内核函数之前将条目增加保存到设备驱动链表中，再调用原内核函数之后将列表条目清楚的方法，欺骗anti-rootkit软件。

 

二、配置文件

1.ADS介绍：NTFS ADS的前世今生

　　下面内容可能是错误的，有误导性，请注意！

　　我们对磁盘文件结构暂时还不太熟悉，就先了解一下，日后再来深究一下。

　　举个例子：

　　　　rootkit必须和控制者服务器建立连接，此时就需要IP地址：xxx.xxx.xxx.xxx:yyyyy,此时该地址必须要被保存在一个文件中。

　　　　我们可以通过ADS技术直接将该地址写入文件中，并不需要直接打开该文件（因为直接打开写入文件时内核所发现)。

　　　　

 

 

 　　　　　我们只需要使用" echo 写入内容  > 写入文件”，即可将配置写入文件中。

2.读取配置文件

　　使用 ZwCreateFile 函数获取文件内核句柄，其一个参数 ioStatusBlock，存储返回结果以及返回要读取的IO字符串数字。

　　使用 ZwWriteFile 函数来读取内容 / 使用 ZwWriteFile 函数来向文件写入内容。

　　使用 ZwClose 函数来关闭文件句柄。

 

三、安装与卸载

　　经过一与二，我们已经建立起了一个基本的“RootKit”，其具有基本的“隐藏自己”和“配置自己”的功能。

　　下面介绍一下如何开启自己的服务：

　　

 

　　因此我们要建立一个R3环的SCMLoader与SCMUnLoader程序来进行处理：

　　- SCMLoader程序处理步骤：

　　　　1）使用该函数 OpenSCManager建立一个连接。

　　　　2）使用 CreateService 将服务名MyDeviceDriver 与 驱动文件 c:\\comint32.sys 建立链接。

　　- SCMUnloader程序处理步骤:

　　　　1）使用 OpenService 函数打开已经创建好的服务。

　　　　2）使用 ControlService 来修改其属性 SERVICE_CONTROL_STOP，之后将服务句柄关闭。

　　　　3）当内核检测该句柄值为零且没有程序调用，其会删除。

　　- RootKit安装与卸载步骤 在cmd下

　　　　1）运行 SCMLoader.exe程序，在系统中注册一服务MyDeviceDriver并于ghost.sys绑定。

　　　　2）使用命令 net start MyDeviceDriver 开启服务，之后驱动会开始运行。

　　　　3）使用 net stop MyDeviceDriver 来关闭驱动。

　　　　4）使用 SCMUnloader 来关闭程序。

　　注意：必须将Driver.exe这个程序一起打包放在C:\下，否则系统会蓝屏死机。

　　　　　其应该作为一个驱动启动程序，具体什么作用自己也不太清楚。

　　　　　现在这里标记一下，弄懂之后回来补上。