搜索

[449] 2015-01-08_UEFIBootKit模型分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2015-01-08_UEFIBootKit模型分析 U E F I   B o o t K i t 模 型 分 析 A r k T e a m   2 0 1 5 - 0 1 - 0 8 大 家 都 知 道 传 统 的 计 算 机 是 通 过 B I O S 来 初 始 化 并 操 作 硬 件 的 ， 确 切 的 说 B I O S 的 功 能 包 括 以 下 几 点 ： 1 检 测 硬 件 ， 又 叫 P O S T 2 初 始 化 硬 件 3 启 动 O S   l o a d e r 加 载 操 作 系 统 4 在 操 作 系 统 加 载 完 成 后 驻 留 ， 向 操 作 系 统 或 者 其 他 软 件 提 供 系 统 服 务 5 修 复 硬 件 缺 陷 但 是 随 着 硬 件 的 飞 速 发 展 ， 以 及 B I O S 设 计 规 范 的 缺 失 ， 传 统 的 B I O S 已 经 成 为 了 硬 件 和 操 作 系 统 的 瓶 颈 。 针 对 传 统 的 B I O S 的 弊 端 ， I n t e r 公 司 提 出 了 可 扩 展 固 件 接 口 （ E F I ） ， 用 以 代 替 传 统 的 B I O S 。 E F I 出 现 后 快 速 得 到 了 各 大 厂 商 的 支 持 ， 并 于 2 0 0 5 年 形 成 了 一 套 由 各 大 厂 商 参 与 定 制 的 标 准 。 通 过 使 用 U E F I 我 们 可 以 获 得 更 大 的 磁 盘 容 量 的 支 持 ， 更 高 的 效 能 和 更 快 的 开 机 、 休 眠 恢 复 时 间 。 由 于 U E F I 的 普 及 和 其 在 启 动 过 程 扮 演 的 重 要 角 色 ， U E F I 的 安 全 性 也 越 来 越 受 到 各 方 面 的 关 注 。 如 果 能 够 在 U E F I 启 动 过 程 中 挂 钩 ， 那 么 我 们 可 以 在 比 启 动 操 作 系 统 更 早 的 时 候 获 得 执 行 权 限 ， 不 管 是 对 于 恶 意 代 码 还 是 相 关 的 安 全 软 件 来 说 ， 这 是 都 是 相 当 具 有 诱 惑 力 的 事 情 。 O K ， 那 么 问 题 来 了 ， 如 何 实 现 对 U E F I 的 挂 钩 呢 ？ 经 查 证 我 们 发 现 ， w i n d o w s 启 动 的 时 候 ， 会 用 到 E F I M i c r o s o f t B o o t 这 个 目 录 下 的 b o o t m g f w . e f i 这 个 文 件 ， 而 该 文 件 正 是 w i n d o w s 用 来 做 U E F I 启 动 的 引 导 文 件 。 其 实 U E F I B o o t k i t 和 其 他 钩 子 程 序 并 没 有 本 质 上 的 区 别 ， 都 是 通 过 搜 索 找 到 合 适 的 h o o k 点 ， 并 将 这 个 地 方 的 代 码 换 成 j m p M y H o o k P r o 。 具 体 实 现 如 下 ： 其 中 这 个 I m a g e 就 是 E F I M i c r o s o f t B o o t b o o t m g f w . e f i ， 我 们 通 过 在 该 文 件 中 搜 索 0 x f f , 0 x d 0 , 0 x 4 8 , 0 x 8 b , 0 x 2 5 找 到 h o o k 点 并 将 这 五 个 字 节 改 成 跳 转 到 h o o k 函 数 的 字 节 码 ， 这 样 我 们 就 可 以 H o o k   U E F I 了 。 在 这 个 H o o k 函 数 ( b o o t m g f w _ A r c h p x 6 4 T r a n s f e r T o 6 4 B i t A p p l i c a t i o n A s m _ h o o k ) 我 们 可 以 用 类 似 的 方 法 挂 钩 w i n l o a d . e x e ， 在 w i n l o a d . e x e 运 行 时 再 次 获 得 执 行 权 限 ， 并 将 权 限 返 回 给 U E F I
在 w i n l o a d . e x e 执 行 时 ， 我 们 在 w i n l o a d . e x e 上 挂 的 钩 子 获 得 执 行 权 限 ， 这 时 候 我 们 就 可 以 在 内 核 文 件 （ n t o s k r n l ） 中 挂 钩 实 现 对 系 统 的 控 制 了 。 通 过 这 种 逐 渐 挂 钩 的 方 式 我 们 可 以 获 得 从 U E F I 引 导 到 系 统 文 件 真 正 价 载 入 内 核 后 的 各 级 控 制 权 ， 实 现 一 个 U E F I B o o t k i t 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理