搜索

[15970] 2020-10-15_微软轻量级系统监控工具sysmon原理与实现完全分析

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-10-15_微软轻量级系统监控工具sysmon原理与实现完全分析 微 软 轻 量 级 系 统 监 控 工 具 s y s m o n 原 理 与 实 现 完 全 分 析 原 创   浪 子 _ 三 少   F r e e B u f   2 0 2 0 - 1 0 - 1 5 前 情 提 要 ： 前 情 提 要 ： 微 软 轻 量 级 系 统 监 控 工 具 s y s m o n 内 核 实 现 原 理 微 软 轻 量 级 监 控 工 具 s y s m o n 原 理 与 实 现 前 两 次 我 们 分 别 讲 了 s y s m o n 的 r i n g 3 与 r i n g 0 的 实 现 原 理 ， 但 是 当 初 使 用 的 版 本 的 是 8 . X 的 版 本 ， 最 新 的 版 本 1 0 . X 的 s y s m o n 功 能 有 所 增 加 ， 经 过 分 析 代 码 上 也 有 变 化 。 比 如 增 加 D N S 得 功 能 ， 这 个 功 能 实 现 也 很 简 单 ， 就 是 E T W 里 获 取 M i c r o s o f t - W i n d o w s - D N S - C l i e n t 得 数 据 ， 但 是 本 篇 不 讲 这 个 ， 本 续 篇 主 要 讲 内 核 里 的 事 件 结 构 。 所 有 的 内 核 里 上 报 的 事 件 开 头 基 本 都 是 下 面 具 体 讲 解 每 个 事 件 的 结 构 1 . F i l e C r e a t e 下 图 是 文 件 上 报 事 件 ， 除 了 上 报 上 诉 三 个 字 段 外 ， 还 有 P r o c e s s P i d 、 、 E v e n t C r e a t e T i m e ， ， F i l e C r e a t e T i m e 、 、 h a s h V l a u e 算 法 算 法 i d ， ， h a s h v a l u e 、 三 组 进 程 相 关 的 数 据 用 户 U s e r S i d 、 进 程 I m a g e F i l e N a m e 、 文 件 名 、 文 件 名 F i l e N a m e 可 以 看 到 内 核 里 上 报 出 来 的 事 件 类 型 是 根 据 是 否 计 算 h a s h 来 判 断 ， 分 别 是 1 0   、 1 1 R e p o r t S i z e R e p o r t T y p e s t r u c t   _ R e p o r t _ C o m m o n _ H e a d e r { U L O N G   R e p o r t T y p e ; U L O N G   R e p o r t S i z e ; } ;
2 .   设 置 文 件 属 性 时 间 改 变 事 件 内 核 出 来 的 事 件 T y p e   值 是 2 结 构 体 与 F i l e C r e a t e 稍 微 有 些 不 同 ， 少 了 文 件 h a s h 的 计 算 的 步 骤 ， 但 是 多 了 一 个 设 置 文 件 改 变 的 时 间 。 3 . 进 程 创 建 事 件 s t r u c t   _ R e p o r t _ F i l e { C o m m o n _ H e a d e r   H e a d e r ; C H A R   d a t a [ 1 6 ] ; U L O N G   P r o c e s s P i d ; U L O N G   P a r e n t P i d ; L A R G E _ I N T E G E R   C r e a t e T i m e ; L A R G E _ I N T E G E R   F i l e C r e a t e T i m e ; U L O N G   H a s h i n g a l g o r i t h m R u l e v ; C H A R   F i l e H a s h [ 8 4 ] ; U L O N G   D a t a L e n g t h [ 4 ] ; C H A R   D a t a 2 [ 1 ] ; } ; s t r u c t   _ R e p o r t _ F i l e _ S e t A t t r u b u t e { C o m m o n _ H e a d e r   H e a d e r ; C H A R   d a t a [ 1 6 ] ; U L O N G   P r o c e s s P i d ; U L O N G   P a r e n t P i d ; L A R G E _ I N T E G E R   C r e a t e T i m e ; L A R G E _ I N T E G E R   F i l e T i m e ; L A R G E _ I N T E G E R   F i l e C r e a t e T i m e ; U L O N G   D a t a L e n g t h [ 4 ] ; C H A R   D a t a 2 [ 1 ] ; } ;
进 程 创 建 上 报 事 件 内 核 的 事 件 T y p e 值 是 4 或 者 1 他 的 结 构 体 如 下 ( 具 体 不 在 讲 解 ， 名 字 字 面 意 思 都 能 看 懂 ) 4 .   进 程 退 出 事 件 进 程 退 出 事 件 内 核 的 T y p e 值 是 3 s t r u c t   _ R e p o r t _ P r o c e s s { R e p o r t _ C o m m o n _ H e a d e r   H e a d e r ; C H A R   d a t a [ 1 6 ] ; U L O N G   P r o c e s s P i d ; U L O N G   P a r e n t P i d ; U L O N G   S e s s i o n I d ; U L O N G   U s e r S i d ; L A R G E _ I N T E G E R   C r e a t e T i m e ; L U I D   A u t h e n t i c a t i o n I d ; U L O N G   T o k e n I s A p p C o n t a i n e r ; L U I D   T o k e n I d ; U L O N G   H a s h i n g a l g o r i t h m R u l e ; D W O R D   D a t a C h u n k L e n g t h [ 6 ] ; C H A R   D a t a [ 1 ] ; } ;
可 以 看 到 数 据 有 进 程 i d 、   父 进 程 i d 、 事 件 创 建 时 间 、 U s e r S i d 5 .   线 程 创 建 事 件 内 核 里 的 事 件 类 型 是 7 s t r u c t   _ R e p o r t _ P r o c e s s _ C r e a t e { R e p o r t _ C o m m o n _ H e a d e r   H e a d e r ; C H A R   d a t a [ 1 6 ] ; U L O N G   P r o c e s s P i d ; U L O N G   P a r e n t P i d ; L A R G E _ I N T E G E R   C r e a t e T i m e ; U L O N G   S i d L e n g t h ; U L O N G   X X X X X X X ; S I D   U s e r S i d ; C H A R   D a t a [ 1 ] ; } ;
结 构 体 如 下 D l l I n f o 是 指 线 程 所 在 的 模 块 名 ， D l l E x p o r t I n f o 是 该 模 块 的 导 出 表 信 息 6 .   O p e n P r o c e s s 事 件 内 核 事 件 类 型 是 ： 9 s t r u c t   _   R e p o r t _ P r o c e s s _ T h r e a d { R e p o r t _ C o m m o n _ H e a d e r   H e a d e r ; C H A R   d a t a [ 1 6 ] ; L A R G E _ I N T E G E R   C r e a t e T i m e ; U L O N G   T h r e a d O w n e r P i d v ; U L O N G   T h r e a d I d ; U L O N G   T h r e a d A d d r e s s ; U L O N G   O p e n P r o c e s s P i d ; W C H A R   D l l I n f o [ 2 6 1 ] ; W C H A R   D l l E x p o r t I n f o [ 2 6 1 ] ; } ;
结 构 体 定 义 如 下 ： s t r u c t   _   R e p o r t _ O p e n P r o c e s s { R e p o r t _ C o m m o n _ H e a d e r   H e a d e r ; C H A R   d a t a [ 1 6 ] ; U L O N G   P r o c e s s I d ; U L O N G   M y T h r e a d I d ; U L O N G   O p e n P r c e s i d ; U L O N G   A c c e s s M a s k ; L A R G E _ I N T E G E R   C r e a t e T i m e ; U L O N G   S t a t c k T r a c k I n f o S i z e ; U L O N G   D a t a L e n g t h [ 3 ] ; C H A R   D a t a [ 1 ] ;
7 .   注 册 表 事 件 进 程 注 册 表 操 作 事 件 的 T y p e 值 是 1 2 结 构 体 如 下 ： 这 里 要 说 明 的 是 附 加 数 据 段 有 5 个 数 据 U s e r S i d R e g i s t r y O p e r a t e N a m e 进 程 名 带 参 数 K e y N a m e V a l u e N a m e 其 中 R e g i s t r y O p e r a t e N a m e 的 值 是 根 据 O p e r a t e E v e n t T y p e 的 值 从 下 面 的 数 组 中 选 取 C H A R   D a t a [ 1 ] ; } ; s t r u c t   _ R e p o r t _ P r o c e s s _ R e g i s t r y { R e p o r t _ C o m m o n _ H e a d e r   H e a d e r ; C H A R   d a t a [ 1 6 ] ; U L O N G   O p e r a t e E v e n t T y p e ; U L O N G   P a r e n t P i d ; L A R G E _ I N T E G E R   C r e a t e T i m e ; U L O N G   P r o c e s s P i d ; U L O G   D a t a L e n t h [ 5 ] ; C H A R   D a t a [ 1 ] ; } ; g _ R e g i s t r y T y p e N a m e   d d   o f f s e t   a U n k n o w n E v e n t T y . r d a t a : 1 0 0 1 3 4 D 8   ;   D A T A   X R E F :   S y s m o n C r e a t e R e g i s t r y R e p o r t I n f o + 1 5 E ↑ r . r d a t a : 1 0 0 1 3 4 D 8   ;   " U n k n o w n   E v e n t   t y p e " . r d a t a : 1 0 0 1 3 4 D C   d d   o f f s e t   a C r e a t e k e y   ;   " C r e a t e K e y "
8 .   命 名 管 道 事 件 内 核 的 事 件 的 T y p e 的 值 是 ： 1 3 结 构 体 如 下 ： 在 d a t a 块 里 会 输 出 ： N a m e P i p e F i l e N a m e   和 I m a g e F i l e N a m e   两 个 数 据 9 .   上 报 错 误 信 息 事 件 内 核 的 事 件 T y p e 值 是 ： 6 结 构 体 定 义 ： D a t a 信 息 里 会 输 出 两 个 错 误 信 息 的 字 符 串 ， 如 ： 下 面 我 做 一 个 小 实 验 ， 以 进 程 信 息 为 例 子 ， 向 s y s o m n 的 驱 动 发 送 I O 控 制 码 0 x X X X 0 0 0 0 X ( 我 打 码 屏 蔽 了 ， 希 望 读 者 自 己 去 发 现 ， 不 要 做 伸 手 党 ) . r d a t a : 1 0 0 1 3 4 E 0   d d   o f f s e t   a D e l e t e k e y   ;   " D e l e t e K e y " . r d a t a : 1 0 0 1 3 4 E 4   d d   o f f s e t   a R e n a m e k e y   ;   " R e n a m e K e y " . r d a t a : 1 0 0 1 3 4 E 8   d d   o f f s e t   a C r e a t e v a l u e   ;   " C r e a t e V a l u e " . r d a t a : 1 0 0 1 3 4 E C   d d   o f f s e t   a D e l e t e v a l u e   ;   " D e l e t e V a l u e " . r d a t a : 1 0 0 1 3 4 F 0   d d   o f f s e t   a R e n a m e v a l u e   ;   " R e n a m e V a l u e " . r d a t a : 1 0 0 1 3 4 F 4   d d   o f f s e t   a S e t v a l u e   ;   " S e t V a l u e " . r d a t a : 1 0 0 1 3 4 F 8   d w o r d _ 1 0 0 1 3 4 F 8   d d   1 0 0 0 1 0 h   ;   D A T A   X R E F :   R e g i s t s t r u c t   _ R e p o r t _ P r o c e s s _ N a m e e d P i p e { R e p o r t _ C o m m o n _ H e a d e r   H e a d e r ; C H A R   d a t a [ 1 6 ] ; U L O N G   N a m e d P i p e T y p e ; U L O N G   P a r e n t P i d ; L A R G E _ I N T E G E R   C r e a t e T i m e ; U L O N G   P r o c e s s P i d ; D W O R D   D a t a C h u n k L e n g t h [ 3 ] ; C H A R   D a t a [ 1 ] ; } ; s t r u c t   _   _ R e p o r t _ E v e n t _ E r r o r { R e p o r t _ C o m m o n _ H e a d e r   H e a d e r ; C H A R   d a t a [ 1 6 ] ; U L O N G   E r r o r D a t a L e n g t h [ 2 ] ; C H A R   D a t a [ 1 ] ; } ; L A R G E _ I N T E G E R   R e q u e s t ; R e q u e s t . L o w P a r t   =   G e t C u r r e n t P r o c e s s I d ( ) ;
看 结 果 ： 可 以 看 到 结 构 体 上 的 值 都 是 对 的 ， 然 后 6 个 D a t a C h u n k L e n g g t h 都 有 值 ， 我 们 在 去 看 下 面 的 D a t a 内 存 R e q u e s t . L o w P a r t   =   G e t C u r r e n t P r o c e s s I d ( ) ; R e q u e s t . H i g h P a r t   =   F A L S E ; B Y T E   O u t B u f f e r [ 4 0 0 2 ]   =   {   0   } ; U L O N G   B y t e s R e t u r n e d   =   0 ; i f   (   S U C C E E D E D (   D e v i c e I o C o n t r o l ( h O b j e c t D r v , S Y S M O N _ R E Q U E S T _ P R O C E S S _ I N F O , & R e q u e s t , 8 . O u t B u f f e r , s i z e o f ( O u t B u f f e r ) , & B y t e s R e t u r n e d ,   0   )   )   ) { i f   (   B y t e s R e t u r n e d   ) { R e p o r t _ P r o c e s s *   p S y s m o n _ R e p o r t _ P r o c e s s   =   ( _ R e p o r t _ P r o c e s s   * ) & O u t B u f f e r [ 0 ] ; i f   (   p S y s m o n _ R e p o r t _ P r o c e s s - > H e a d e r . R e p o r t S i z e   ) { C h e c k S e r v i c e O k   =   T R U E ; } } } C l o s e H a n d l e (   h O b j e c t D r v   ) ;
今 天 的 续 篇 就 此 结 束 ， s y s m o n 还 是 可 以 挖 掘 很 多 很 实 用 得 东 西 ， 比 如 每 个 事 件 里 得 P r o c e s s G u i d   并 不 是 随 机 生 成 得 ， 而 是 有 一 定 算 法 得 ， 具 体 读 者 可 以 自 行 研 究 发 现 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理