搜索

[1173] 2021-03-10_使用C#进行直接系统调用syscall

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2021-03-10_使用C#进行直接系统调用syscall 使 用 C # 进 行 直 接 系 统 调 用 s y s c a l l Y 4 e r   C h a B u g   2 0 2 1 - 0 3 - 1 0 最 近 看 了 很 多 关 于 s y s c a l l 的 文 章 ， 国 外 大 多 数 安 全 研 究 员 使 用 s y s c a l l 来 绕 过 e d r 的 h o o k ， 使 用 的 语 言 也 五 花 八 门 ， 而 我 c 系 列 的 语 言 只 会 一 点 c # ， 所 以 我 就 用 C # 来 简 单 实 现 一 个 s y s c a l l 。 本 文 全 文 参 考 以 下 两 篇 文 章 ， 部 分 讲 解 的 不 如 原 文 清 楚 ， 要 详 细 了 解 的 请 移 步 ： 1 . h t t p s : / / j h a l o n . g i t h u b . i o / u t i l i z i n g - s y s c a l l s - i n - c s h a r p - 1 / 2 . h t t p s : / / j h a l o n . g i t h u b . i o / u t i l i z i n g - s y s c a l l s - i n - c s h a r p - 2 / 3 . h t t p s : / / g i t h u b . c o m / j h a l o n / S h a r p C a l l 什 么 是 什 么 是 s y s c a l l 在 W i n d o w s 中 ， 进 程 处 理 体 系 被 分 为 两 种 ： 用 户 模 式 和 内 核 模 式 。
i m a g e . p n g 而 两 者 之 间 的 切 换 正 是 s y s c a l l 在 起 作 用 。 使 用 P r o c e s s M o n i t o r 观 察 记 事 本 创 建 文 件 的 操 作
i m a g e . p n g 可 以 看 到 蓝 色 的 就 是 用 户 模 式 ( U s e r   M o d e ) ， 红 色 的 是 内 核 模 式 ( K e r n e l   M o d e ) 。 两 者 之 间 对 于 C r e a t e F i l e 进 行 了 切 换 ， 从 K e r n e l B a s e . d l l ! C r e a t e F i l e W - > n t d l l . d l l ! N t C r e a t e F i l e - > n t o s k r n l . e x e ! N t C r e a t e F i l e 。 有 两 个 不 同 的 N t C r e a t e F i l e 函 数 调 用 ， 一 个 来 自 n t d l l . d l l 模 块 ， 另 一 个 来 自 n t o s k r n l . e x e 模 块 ， 为 什 么 ？ n t d l l . d l l 里 导 出 W i n d o w s 原 生 A P I ， n t o s k r n l 里 是 对 其 的 实 现 ( 内 核 A P I ) 。 来 看 一 下 两 种 模 式 之 间 的 切 换 在 C P U 中 的 具 体 指 令 。 W i n D B G 随 意 A t t a c h 一 个 进 程 ， 键 入 命 令 x   n t d l l ! N t C r e a t e F i l e
i m a g e . p n g 这 里 看 到 N t C r e a t e F i l e 的 汇 编 指 令 为 在 s y s c a l l 指 令 下 发 后 C P U 会 跳 入 内 核 模 式 ， 把 函 数 调 用 参 数 从 用 户 模 式 堆 栈 复 制 到 内 核 模 式 堆 栈 ， 执 行 N t C r e a t e F i l e 的 内 核 版 本 Z w C r e a t e F i l e 函 数 ， 完 成 后 把 返 回 值 返 回 到 用 户 模 式 ， 整 个 系 统 调 用 完 成 。 使 用 使 用 s y s c a l l 在 c p p 中 只 需 要 内 联 a s m 代 码 就 行 ， 比 如 我 们 想 编 写 一 个 利 用 N t C r e a t e F i l e   s y s c a l l 的 程 序 ， 只 需 要 内 联 其 汇 编 代 码 。 而 在 C # 中 没 有 内 联 汇 编 ， 因 为 托 管 代 码 的 原 因 。 简 述 下 托 管 代 码 和 非 托 管 代 码 ： C # 需 要 通 过 . n e t   C L R 进 行 翻 译 执 行 ， 而 在 C L R 中 提 供 了 自 动 垃 圾 回 收 、 异 常 处 理 等 ， C # 代 码 托 管 给 C L R 来 运 行 ， 叫 做 托 管 代 码 。 而 c p p 是 直 接 编 译 为 系 统 指 令 ， 没 有 中 间 商 处 理 ， 所 以 叫 非 托 管 代 码 。 m o v           r 1 0 , r c x m o v           e a x , 5 5 h s y s c a l l r e t m o v           r 1 0 , r c x m o v           e a x , 5 5 h s y s c a l l r e t
尽 管 没 有 内 联 汇 编 ， 但 是 C # 仍 然 提 供 了 一 种 方 式 突 破 托 管 代 码 和 非 托 管 代 码 之 间 的 界 限 ： 加 委 托 。 P / I n v o k e P / I n v o k e 允 许 C # 访 问 非 托 管 D L L 中 的 结 构 体 、 函 数 等 ， 主 要 是 通 过 S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s 命 名 空 间 来 操 作 ， 先 来 一 个 实 例 ， 通 过 该 命 名 空 间 来 调 用 M e s s a g e B o x 。 通 过 P / I n v o k e 的 D l l I m p o r t 导 入 u s e r 3 2 . d l l 里 的 M e s s a g e B o x 函 数 来 进 行 调 用 。 i m a g e . p n g 委 托 委 托 P / I n v o k e ( P l a t f o r m   I n v o k e ) u s i n g   S y s t e m ; u s i n g   S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s ; p u b l i c   c l a s s   P r o g r a m {         [ D l l I m p o r t ( " u s e r 3 2 . d l l " ,   C h a r S e t   =   C h a r S e t . U n i c o d e ,   S e t L a s t E r r o r   =   t r u e ) ]         p r i v a t e   s t a t i c   e x t e r n   i n t   M e s s a g e B o x ( I n t P t r   h W n d ,   s t r i n g   l p T e x t ,   s t r i n g   l p C a p t i o n ,   u i n t   u T y p e ) ;         p u b l i c   s t a t i c   v o i d   M a i n ( s t r i n g [ ]   a r g s )         {                 M e s s a g e B o x ( I n t P t r . Z e r o ,   " H e l l o   f r o m   u n m a n a g e d   c o d e ! " ,   " T e s t ! " ,   0 ) ;         } }
C #   中 的 委 托 （ D e l e g a t e ） 类 似 于   C   或   C + +   中 函 数 的 指 针 。 委 托 （ D e l e g a t e ）   是 存 有 对 某 个 方 法 的 引 用 的 一 种 引 用 类 型 变 量 。 引 用 可 在 运 行 时 被 改 变 。 委 托 （ D e l e g a t e ） 特 别 用 于 实 现 事 件 和 回 调 方 法 。 所 有 的 委 托 （ D e l e g a t e ） 都 派 生 自   S y s t e m . D e l e g a t e   类 。 先 看 下 委 托 的 基 本 用 法 ， 后 面 配 合 P / I n v o k e 进 行 s y s c a l l 代 码 中 定 义 了 一 个 E n u m W i n d o w s P r o c 委 托 ， 将 委 托 作 为 第 一 个 参 数 传 入 E n u m W i n d o w s   A P I 函 数 ， 查 看 E n u m W i n d o w s 的 函 数 定 义 第 一 个 参 数 是 一 个 指 针 ， 指 向 程 序 定 义 的 回 调 。 意 思 就 是 可 以 通 过 传 递 O u t p u t W i n d o w 函 数 指 针 进 行 调 用 O u t p u t W i n d o w 函 数 。 u s i n g   S y s t e m ; u s i n g   S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s ; n a m e s p a c e   P r o g r a m {         p u b l i c   s t a t i c   c l a s s   P r o g r a m         {                 / /   定 义 与 非 托 管 函 数 相 对 应 的 委 托 。                 p r i v a t e   d e l e g a t e   b o o l   E n u m W i n d o w s P r o c ( I n t P t r   h w n d ,   I n t P t r   l P a r a m ) ;                 / /   导 入 u s e r 3 2 . d l l （ 包 含 我 们 需 要 的 功 能 ） 并 定 义 与 本 机 函 数 相 对 应 的 方 法 。                 [ D l l I m p o r t ( " u s e r 3 2 . d l l " ) ]                 p r i v a t e   s t a t i c   e x t e r n   i n t   E n u m W i n d o w s ( E n u m W i n d o w s P r o c   l p E n u m F u n c ,   I n t P t r   l P a r a m ) ;                 / /   定 义 委 托 的 实 现   在 这 里 只 输 出 窗 口 句 柄 。                 p r i v a t e   s t a t i c   b o o l   O u t p u t W i n d o w ( I n t P t r   h w n d ,   I n t P t r   l P a r a m )                 {                         C o n s o l e . W r i t e L i n e ( h w n d . T o I n t 6 4 ( ) ) ;                         r e t u r n   t r u e ;                 }                 p u b l i c   s t a t i c   v o i d   M a i n ( s t r i n g [ ]   a r g s )                 {                         / /   调 用 方 法   注 意 将 委 托 作 为 第 一 个 参 数 。                         E n u m W i n d o w s ( O u t p u t W i n d o w ,   I n t P t r . Z e r o ) ;                         C o n s o l e . R e a d K e y ( ) ;                 }         } } B O O L   E n u m W i n d o w s (     W N D E N U M P R O C   l p E n u m F u n c ,     L P A R A M             l P a r a m ) ;
现 在 我 们 知 道 ， 委 托 类 似 于 c p p 中 的 指 针 ， 可 以 将 委 托 作 为 参 数 传 递 。 假 如 我 们 通 过 V i r t u a l A l l o c 分 配 一 段 内 存 并 将 其 返 回 给 我 们 的 委 托 ， 那 么 我 们 可 以 通 过 来 转 换 传 入 的 数 据 类 型 ， 以 在 非 托 管 代 码 和 之 间 进 行 转 换 ， 也 就 意 味 着 我 们 可 以 通 过 这 种 方 式 来 执 行 s h e l l c o d e 。 T y p e   m a r s h a l i n g 通 过 M a r s h a l . G e t D e l e g a t e F o r F u n c t i o n P o i n t e r 来 将 函 数 指 针 转 为 委 托 。 原 作 者 给 出 的 N t O p e n P r o c e s s 的 实 例 。 T y p e   m a r s h a l i n g n a t i v e   c o d e u s i n g   S y s t e m ; u s i n g   S y s t e m . C o m p o n e n t M o d e l ; u s i n g   S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s ; n a m e s p a c e   S h a r p C a l l {         c l a s s   S y s c a l l s         {                 / /   N t O p e n P r o c e s s   S y s c a l l   A S M                 s t a t i c   b y t e [ ]   b N t O p e n P r o c e s s   =                 {                         0 x 4 C ,   0 x 8 B ,   0 x D 1 ,                               / /   m o v   r 1 0 ,   r c x                         0 x B 8 ,   0 x 2 6 ,   0 x 0 0 ,   0 x 0 0 ,   0 x 0 0 ,       / /   m o v   e a x ,   0 x 2 6   ( N t O p e n P r o c e s s   S y s c a l l )                         0 x 0 F ,   0 x 0 5 ,                                           / /   s y s c a l l                         0 x C 3                                                         / /   r e t                 } ;                 p u b l i c   s t a t i c   N T S T A T U S   N t O p e n P r o c e s s (                         / /   F i l l   N t O p e n P r o c e s s   P a r a m t e r s )                 {                         / /   s e t   b y t e   a r r a y   o f   b N t O p e n P r o c e s s   t o   n e w   b y t e   a r r a y   c a l l e d   s y s c a l l                         b y t e [ ]   s y s c a l l   =   b N t O p e n P r o c e s s ;                         / /   s p e c i f y   u n s a f e   c o n t e x t                         u n s a f e                         {                                 / /   c r e a t e   n e w   b y t e   p o i n t e r   a n d   s e t   v a l u e   t o   o u r   s y s c a l l   b y t e   a r r a y                                 f i x e d   ( b y t e *   p t r   =   s y s c a l l )                                 {                                         / /   c a s t   t h e   b y t e   a r r a y   p o i n t e r   i n t o   a   C #   I n t P t r   c a l l e d   m e m o r y A d d r e s s                                         I n t P t r   m e m o r y A d d r e s s   =   ( I n t P t r ) p t r ;                                 }                         }                 }         } }
首 先 通 过 W i n D B G 拿 到 N t O p e n P r o c e s s 的 汇 编 指 令 ， 涉 及 指 针 操 作 的 代 码 需 要 用 到 u n s a f e 关 键 字 ， f i x e d 关 键 字 用 来 防 止 C L R 的 垃 圾 回 收 修 改 变 量 地 址 。 当 拿 到 m e m o r y A d d r e s s 之 后 我 们 就 可 以 将 其 传 递 给 委 托 使 用 。 即 通 过 M a r s h a l . G e t D e l e g a t e F o r F u n c t i o n P o i n t e r 来 将 函 数 指 针 转 为 委 托 。 通 过 通 过 s y s c a l l 实 现 实 现 N t C r e a t e F i l e 在 w i n d b g 中 拿 到 的 汇 编 指 令 如 下 首 先 看 下 a p i 返 回 值 是 N T S T A T U S 一 个 结 构 体 ， A C C E S S _ M A S K 、 O B J E C T _ A T T R I B U T E S 等 都 是 结 构 体 ， 那 么 需 要 先 在 自 己 代 码 中 定 义 其 结 构 体 。 在 h t t p s : / / w w w . p i n v o k e . n e t /   中 可 以 查 到 函 数 及 结 构 体 的 定 义 ， 并 且 给 出 了 c # 代 码 。 在 S h a r p S y s C a l l N a t i v e . c s [ 1 ] 中 定 义 了 所 有 用 到 的 结 构 体 和 标 识 符 。 然 后 定 义 了 一 个 委 托 } 0 : 0 0 1 >   x   n t d l l ! N t C r e a t e F i l e 0 0 0 0 7 f f 8 ` 5 0 f a d 0 b 0   n t d l l ! N t C r e a t e F i l e   ( N t C r e a t e F i l e ) 0 : 0 0 1 >   u   0 0 0 0 7 f f 8 ` 5 0 f a d 0 b 0 n t d l l ! N t C r e a t e F i l e : 0 0 0 0 7 f f 8 ` 5 0 f a d 0 b 0   4 c 8 b d 1                     m o v           r 1 0 , r c x 0 0 0 0 7 f f 8 ` 5 0 f a d 0 b 3   b 8 5 5 0 0 0 0 0 0             m o v           e a x , 5 5 h 0 0 0 0 7 f f 8 ` 5 0 f a d 0 b 8   f 6 0 4 2 5 0 8 0 3 f e 7 f 0 1   t e s t         b y t e   p t r   [ S h a r e d U s e r D a t a + 0 x 3 0 8   ( 0 0 0 0 0 0 0 0 ` 7 f f e 0 3 0 8 ) ] , 1 0 0 0 0 7 f f 8 ` 5 0 f a d 0 c 0   7 5 0 3                         j n e           n t d l l ! N t C r e a t e F i l e + 0 x 1 5   ( 0 0 0 0 7 f f 8 ` 5 0 f a d 0 c 5 ) 0 0 0 0 7 f f 8 ` 5 0 f a d 0 c 2   0 f 0 5                         s y s c a l l 0 0 0 0 7 f f 8 ` 5 0 f a d 0 c 4   c 3                             r e t 0 0 0 0 7 f f 8 ` 5 0 f a d 0 c 5   c d 2 e                         i n t           2 E h 0 0 0 0 7 f f 8 ` 5 0 f a d 0 c 7   c 3                             r e t _ _ k e r n e l _ e n t r y   N T S T A T U S   N t C r e a t e F i l e (     P H A N D L E                         F i l e H a n d l e ,     A C C E S S _ M A S K                 D e s i r e d A c c e s s ,     P O B J E C T _ A T T R I B U T E S   O b j e c t A t t r i b u t e s ,     P I O _ S T A T U S _ B L O C K       I o S t a t u s B l o c k ,     P L A R G E _ I N T E G E R           A l l o c a t i o n S i z e ,     U L O N G                             F i l e A t t r i b u t e s ,     U L O N G                             S h a r e A c c e s s ,     U L O N G                             C r e a t e D i s p o s i t i o n ,     U L O N G                             C r e a t e O p t i o n s ,     P V O I D                             E a B u f f e r ,     U L O N G                             E a L e n g t h ) ;
先 定 义 N t C r e a t e F i l e 的 汇 编 指 令 字 节 数 组 接 下 来 是 对 委 托 的 实 现   s t a t i c   b y t e [ ]   b N t C r e a t e F i l e   =                 {                                   0 x 4 C ,   0 x 8 B ,   0 x D 1 ,                               / /   m o v   r 1 0 ,   r c x                         0 x B 8 ,   0 x 5 5 ,   0 x 0 0 ,   0 x 0 0 ,   0 x 0 0 ,       / /   m o v   e a x ,   0 x 5 5   ( N t C r e a t e F i l e   S y s c a l l )                         0 x 0 F ,   0 x 0 5 ,                                           / /   s y s c a l l                         0 x C 3                                                         / /   r e t                 } ;
在 实 现 中 ， 拿 到 N t C r e a t e F i l e 的 在 内 存 中 的 地 址 ， 而 在 W i n d o w s 安 全 模 型 中 ， 内 存 需 要 分 配 合 适 的 访 问 权 限 。 通 过 w i n d b g 可 以 看 到 N t C r e a t e F i l e 的 权 限 为 P A G E _ E X E C U T E _ R E A D 0 : 0 0 1 >   ! a d d r e s s   0 0 0 0 7 f f 8 ` 5 0 f a d 0 b 0 M a p p i n g   f i l e   s e c t i o n   r e g i o n s . . . M a p p i n g   m o d u l e   r e g i o n s . . . M a p p i n g   P E B   r e g i o n s . . . M a p p i n g   T E B   a n d   s t a c k   r e g i o n s . . . M a p p i n g   h e a p   r e g i o n s . . . M a p p i n g   p a g e   h e a p   r e g i o n s . . . M a p p i n g   o t h e r   r e g i o n s . . . M a p p i n g   s t a c k   t r a c e   d a t a b a s e   r e g i o n s . . . M a p p i n g   a c t i v a t i o n   c o n t e x t   r e g i o n s . . . U s a g e :                                     I m a g e B a s e   A d d r e s s :                       0 0 0 0 7 f f 8 ` 5 0 f 1 1 0 0 0 E n d   A d d r e s s :                         0 0 0 0 7 f f 8 ` 5 1 0 2 c 0 0 0 R e g i o n   S i z e :                         0 0 0 0 0 0 0 0 ` 0 0 1 1 b 0 0 0   (       1 . 1 0 5   M B ) S t a t e :                                     0 0 0 0 1 0 0 0                     M E M _ C O M M I T P r o t e c t :                                 0 0 0 0 0 0 2 0                     P A G E _ E X E C U T E _ R E A D T y p e :                                       0 1 0 0 0 0 0 0                     M E M _ I M A G E A l l o c a t i o n   B a s e :                 0 0 0 0 7 f f 8 ` 5 0 f 1 0 0 0 0 A l l o c a t i o n   P r o t e c t :           0 0 0 0 0 0 8 0                     P A G E _ E X E C U T E _ W R I T E C O P Y I m a g e   P a t h :                           C : W i n d o w s S Y S T E M 3 2 n t d l l . d l l M o d u l e   N a m e :                         n t d l l L o a d e d   I m a g e   N a m e :             C : W i n d o w s S Y S T E M 3 2 n t d l l . d l l M a p p e d   I m a g e   N a m e :            
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理