设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [18560] 2021-05-11_红队InlineHook技术实现
返回列表 发新帖
查看: 0|回复: 0

[18560] 2021-05-11_红队InlineHook技术实现

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-05-11_红队InlineHook技术实现 红 队   |   I n l i n e H o o k 技 术 实 现 原 创   B u f f e r   H A C K 学 习 呀   2 0 2 1 - 0 5 - 1 1 前 言 前 言 I A T H O O K 局 限 性 较 大 , 当 我 们 想 H O O K 一 个 普 通 函 数 , 并 不 是 A P I , 或 者 I A T 表 里 并 没 有 这 个 A P I 函 数 ( 有 可 能 他 自 己 L o a d L i b r a r y , 自 己 加 载 的 ) , 那 我 们 根 本 就 从 导 入 表 中 找 不 到 这 个 函 数 , 自 然 也 就 在 I A T 表 中 无 法 找 到 , I n l i n e H o o k 算 是 对 I A T H O O K 一 个 升 级 版 吧 大 体 思 路 大 体 思 路 用 J M P 改 变 函 数 入 口 , J M P 到 我 们 自 己 的 函 数 , 然 后 又 J M P 回 去 执 行 刚 刚 的 没 执 行 完 的 函 数 。 过 程 无 论 怎 么 变 , 一 定 要 让 堆 栈 平 衡 和 保 留 原 来 的 寄 存 器 , 这 是 H o o k 是 否 成 功 的 关 键 . 具 体 实 现 具 体 实 现 创 建 钩 子 创 建 钩 子 这 里 别 忘 了 改 属 性 , 然 后 就 是 有 个 公 式 , J M P 后 面 的 值 并 不 是 我 们 真 正 想 要 去 的 地 址 E 9 后 面 的 值   =   要 跳 转 的 地 址   -   E 9 的 地 址   -   5 , 这 里 要 算 一 下 . 卸 载 钩 子 卸 载 钩 子   D W O R D   S e t I n l i n e H o o k ( L P B Y T E   H o o k A d d r , L P V O I D   H o o k P r o c , D W O R D   n u m )     / / 要 挂 钩 子 的 地 址 , 钩 子 函 数 ( 如 何 处 理 ) , 要 改 多 少 个 的 硬 编 码   {           i f   ( H o o k A d d r   = =   N U L L   | |   H o o k P r o c   = =   N U L L )           {                   p r i n t f ( " 地 址 填 错 了 " ) ;                   r e t u r n   0 ;           }           i f   ( n u m   <   5 )           {                   p r i n t f ( " H O O K 不 了 " ) ;                   r e t u r n   0 ;           }           / / 改 变 修 改 地 址 为 可 写 属 性           D W O R D   O l d P r o t e c t   =   0 ;           D W O R D   b r e t   =   V i r t u a l P r o t e c t ( ( L P B Y T E ) H o o k A d d r , n u m ,   P A G E _ E X E C U T E _ R E A D W R I T E , & O l d P r o t e c t ) ;           i f   ( b r e t   = =   0 )           {                   p r i n t f ( " 修 改 可 写 属 性 失 败 " ) ;                   r e t u r n   0 ;           }           B u f f e r   =   m a l l o c ( n u m   *   s i z e o f ( c h a r ) ) ;           m e m c p y ( B u f f e r ,   H o o k A d d r ,   n u m ) ;     / / 存 起 来 把 原 来 的 值           m e m s e t ( H o o k A d d r , 0 x 9 0 , n u m ) ;       / / 先 全 部 n o p           / / 计 算 跳 到 我 们 自 己 函 数 的 硬 编 码 , E 9 后 面 的 值   =   要 跳 转 的 地 址   -   E 9 的 地 址   -   5           D W O R D   J m p A d d r   =   ( D W O R D ) H o o k P r o c   -   ( D W O R D ) H o o k A d d r   -   5 ;           * ( L P B Y T E ) H o o k A d d r   =   0 x E 9 ;           * ( P D W O R D ) ( ( L P B Y T E ) H o o k A d d r   +   1 )   =   J m p A d d r ;           G l o b l e H o o k A d d r   =   ( D W O R D ) H o o k A d d r ;           R e t G l o b l e H o o k A d d r   =   ( D W O R D ) H o o k A d d r   +   n u m ;     / / 等 会 的 返 回 地 址           d w _ i f H O O K   =   1 ;   }   D W O R D   U n I n l i n e H o o k ( D W O R D   n u m )   {           i f   ( ! d w _ i f H O O K )           {
这 里 把 我 们 在 创 建 钩 子 的 时 候 定 义 的 全 局 变 量 B u f f e r 的 值 重 新 写 回 来 就 行 了 钩 子 函 数 钩 子 函 数 上 来 先 把 寄 存 器 的 值 保 存 下 来 , 后 面 我 们 要 还 原 现 场 . 这 里 我 先 创 建 了 一 个 结 构 体 用 于 接 收 寄 存 器 的 值 , 等 会 方 便 打 印           {                   p r i n t f ( " 还 没 h o o k 呢 " ) ;                   r e t u r n   0 ;           }           m e m c p y ( ( L P V O I D ) G l o b l e H o o k A d d r ,   B u f f e r ,   n u m ) ;           B u f f e r   =   N U L L ;           d w _ i f H O O K   =   0 ;           r e t u r n   1 ;   }   e x t e r n   " C "   _ d e c l s p e c ( n a k e d )   v o i d   H o o k P r o c ( )       / / 裸 函 数 , 编 译 器 不 帮 我 们 平 衡 堆 栈   {           / / 先 把 现 场 保 留 了           _ a s m           {                   p u s h a d         / / 保 留 寄 存 器                   p u s h f d       / / 保 留 标 志 寄 存 器           }           _ a s m           {                   m o v   r e g . E A X ,   e a x                   m o v   r e g . E B X ,   e b x                   m o v   r e g . E C X ,   e c x                   m o v   r e g . E D X ,   e d x                   m o v   r e g . E D I ,   e d i                   m o v   r e g . E S I ,   e s i                   m o v   r e g . E S P ,   e s p                   m o v   r e g . E B P ,   e b p           }           _ a s m           {                   m o v   e a x ,   D W O R D   P T R   s s   :   [ e s p   +   0 x 2 8 ]                   m o v   x ,   e a x                   m o v   e a x ,   D W O R D   P T R   s s   :   [ e s p   +   0 x 2 c ]                   m o v   y ,   e a x                   m o v   e a x ,   D W O R D   P T R   s s   :   [ e s p   +   0 x 3 0 ]                   m o v   z ,   e a x           }           p r i n t f ( " E A X : % x   E B X : % x   E C X : % x   E D X : % x   E D I : % x   E S I : % x   E S P : % x   E B P : % x   n " ,   r e g . E A X ,   r e g . E B X ,   r e g . E C X ,   r e g . E D X ,   r e g . E D I ,   r e g . E S I ,   r e g . E S P ,   r e g . E B P ) ;           p r i n t f ( " 参 数 : % d   % d   % d n " ,   x ,   y ,   z ) ;           _ a s m           {                   p o p f d                   p o p a d           }           _ a s m           {                   p u s h                 e b p                   m o v                   e b p ,   e s p                   s u b                   e s p ,   0 C 0 h           }           _ a s m           {                   j m p   R e t G l o b l e H o o k A d d r ;           }   }
然 后 第 2 2 ~ 2 8 行 的 值 由 于 p u s h a d 和 p u s h f d 了 , 偏 移 不 能 是 + 4   + 8   + c 了 , 这 里 要 算 一 下 , 4 0 ~ 4 5 行 , 我 们 将 原 来 没 执 行 的 代 码 执 行 一 下 , 不 然 堆 栈 出 问 题 了 , 最 后 跳 转 到 原 函 数 的 下 一 个 位 置 , 继 续 执 行 原 函 数 被 被 H O O K 的 函 数 的 函 数 测 试 测 试 这 里 有 一 个 小 的 细 节 , 我 们 用 函 数 名 T e s t 传 参 的 话 , 传 进 去 的 这 个 参 数 的 值 并 不 是 真 正 的 函 数 地 址 , 而 是 一 个 间 接 地 址 , 间 接 地 址 里 面 的 值 是 J M P 到 真 正 的 函 数 地 址 。 也 就 是 我 们 平 时 看 反 汇 编 时 , 如 果 我 们 F 1 1 一 个 C A L L 我 们 会 发 现 他 先 到 一 个 地 址 , 然 后 再 F 1 1 , 才 会 到 真 正 的 函 数 地 址 。 用 函 数 名 传 参 的 话 得 到 的 并 不 是 真 正 的 函 数 地 址 , 但 其 实 也 是 个 间 接 地 址 嘛 , J M P   + 真 正 函 数 地 址 经 过 运 算 后 的 地 址 , 我 们 还 是 用 “ E 9 后 面 的 值   =   要 跳 转 的 地 址   -   E 9 的 地 址   -   5 ” 这 个 公 式 算 一 下 。 这 里 我 找 到 一 篇 文 章 说 明 为 什 么 有 这 种 机 制 : h t t p s : / / b l o g . c s d n . n e t / x _ i y a / a r t i c l e / d e t a i l s / 1 3 1 6 1 9 3 7 测 试 结 果 测 试 结 果 t y p e d e f   s t r u c t   _ r e g e i s t { D W O R D   E A X ; D W O R D   E B X ; D W O R D   E C X ; D W O R D   E D X ; D W O R D   E B P ; D W O R D   E S P ; D W O R D   E S I ; D W O R D   E D I ; } r e g e i s t ; r e g e i s t   r e g   =   {   0   } ; D W O R D   T e s t ( i n t   x ,   i n t   y ,   i n t   z ) { r e t u r n   x   +   y   +   z ; }   D W O R D   T e s t I n l i n e H o o k ( )   {           P A d d r   =   ( B Y T E * ) T e s t   +   1 ;           P A d d r   + =   * ( D W O R D * ) P A d d r +   4 ;           S e t I n l i n e H o o k ( ( L P B Y T E ) T e s t ,   H o o k P r o c , 9 ) ;           T e s t ( 1 ,   2 ,   3 ) ;           U n I n l i n e H o o k ( 9 ) ;           T e s t ( 1 ,   2 ,   3 ) ;           r e t u r n   0 ;   }
    我 调 用 了 两 次 函 数 ， 但 只 有 一 次 输 出 说 明 卸 载 也 成 功 了 完 整 代 码 完 整 代 码 / /   I n l i n e H o o k . c p p   :   此 文 件 包 含   " m a i n "   函 数 。 程 序 执 行 将 在 此 处 开 始 并 结 束 。 / / # i n c l u d e   < i o s t r e a m > # i n c l u d e   < w i n d o w s . h > / / 保 留 原 来 的 硬 编 码 L P V O I D   B u f f e r ; t y p e d e f   s t r u c t   _ r e g e i s t { D W O R D   E A X ; D W O R D   E B X ; D W O R D   E C X ; D W O R D   E D X ; D W O R D   E B P ; D W O R D   E S P ; D W O R D   E S I ; D W O R D   E D I ; } r e g e i s t ; r e g e i s t   r e g   =   {   0   } ; D W O R D   x ; D W O R D   y ; D W O R D   z ; D W O R D   G l o b l e H o o k A d d r ; D W O R D   R e t G l o b l e H o o k A d d r ; D W O R D   d w _ i f H O O K   =   0 ; D W O R D   T e s t ( i n t   x ,   i n t   y ,   i n t   z ) ; P B Y T E   P A d d r ; / / t y p e d e f   D W O R D ( * M y T e s t ) ( i n t   x ,   i n t   y ,   i n t   z ) ; / / M y T e s t   p A d d r   = T e s t ; e x t e r n   " C "   _ d e c l s p e c ( n a k e d )   v o i d   H o o k P r o c ( )       / / 裸 函 数 , 编 译 器 不 帮 我 们 平 衡 堆 栈 { / / 先 把 现 场 保 留 了 _ a s m { p u s h a d         / / 保 留 寄 存 器 p u s h f d       / / 保 留 标 志 寄 存 器 }
_ a s m { m o v   r e g . E A X ,   e a x m o v   r e g . E B X ,   e b x m o v   r e g . E C X ,   e c x m o v   r e g . E D X ,   e d x m o v   r e g . E D I ,   e d i m o v   r e g . E S I ,   e s i m o v   r e g . E S P ,   e s p m o v   r e g . E B P ,   e b p } _ a s m { m o v   e a x ,   D W O R D   P T R   s s   :   [ e s p   +   0 x 2 8 ] m o v   x ,   e a x m o v   e a x ,   D W O R D   P T R   s s   :   [ e s p   +   0 x 2 c ] m o v   y ,   e a x m o v   e a x ,   D W O R D   P T R   s s   :   [ e s p   +   0 x 3 0 ] m o v   z ,   e a x } p r i n t f ( " E A X : % x   E B X : % x   E C X : % x   E D X : % x   E D I : % x   E S I : % x   E S P : % x   E B P : % x   n " ,   r e g . E A X ,   r e g . E B X ,   r e g . E C X ,   r e g . E D X ,   r e g . E D I ,   r e g . E S I ,   r e g . E S P ,   r e g . E B P ) ; p r i n t f ( " 参 数 : % d   % d   % d n " ,   x ,   y ,   z ) ; _ a s m { p o p f d p o p a d } _ a s m { p u s h                 e b p m o v                   e b p ,   e s p s u b                   e s p ,   0 C 0 h } _ a s m { j m p   R e t G l o b l e H o o k A d d r ; } } D W O R D   S e t I n l i n e H o o k ( L P B Y T E   H o o k A d d r , L P V O I D   H o o k P r o c , D W O R D   n u m )     / / 要 挂 钩 子 的 地 址 , 钩 子 函 数 ( 如 何 处 理 ) , 要 改 多 少 个 的 硬 编 码 { i f   ( H o o k A d d r   = =   N U L L   | |   H o o k P r o c   = =   N U L L ) { p r i n t f ( " 地 址 填 错 了 " ) ; r e t u r n   0 ; } i f   ( n u m   <   5 ) { p r i n t f ( " H O O K 不 了 " ) ; r e t u r n   0 ; } / / 改 变 修 改 地 址 为 可 写 属 性 D W O R D   O l d P r o t e c t   =   0 ; D W O R D   b r e t   =   V i r t u a l P r o t e c t ( ( L P B Y T E ) H o o k A d d r , n u m ,   P A G E _ E X E C U T E _ R E A D W R I T E , & O l d P r o t e c t ) ; i f   ( b r e t   = =   0 ) { p r i n t f ( " 修 改 可 写 属 性 失 败 " ) ; r e t u r n   0 ; }
B u f f e r   =   m a l l o c ( n u m   *   s i z e o f ( c h a r ) ) ; m e m c p y ( B u f f e r ,   H o o k A d d r ,   n u m ) ; m e m s e t ( H o o k A d d r , 0 x 9 0 , n u m ) ;       / / 先 全 部 n o p / / 计 算 跳 到 我 们 自 己 函 数 的 硬 编 码 , 这 里 用 E 8 方 便 平 衡 堆 栈 , E 8 后 面 的 值   =   要 跳 转 的 地 址   -   E 8 的 地 址   -   5 D W O R D   J m p A d d r   =   ( D W O R D ) H o o k P r o c   -   ( D W O R D ) H o o k A d d r   -   5 ; * ( L P B Y T E ) H o o k A d d r   =   0 x E 9 ; * ( P D W O R D ) ( ( L P B Y T E ) H o o k A d d r   +   1 )   =   J m p A d d r ; G l o b l e H o o k A d d r   =   ( D W O R D ) H o o k A d d r ; R e t G l o b l e H o o k A d d r   =   ( D W O R D ) H o o k A d d r   +   n u m ; d w _ i f H O O K   =   1 ; } D W O R D   U n I n l i n e H o o k ( D W O R D   n u m ) { i f   ( ! d w _ i f H O O K ) { p r i n t f ( " 还 没 h o o k 呢 " ) ; r e t u r n   0 ; } m e m c p y ( ( L P V O I D ) G l o b l e H o o k A d d r ,   B u f f e r ,   n u m ) ; B u f f e r   =   N U L L ; d w _ i f H O O K   =   0 ; r e t u r n   1 ; } D W O R D   T e s t ( i n t   x ,   i n t   y ,   i n t   z ) { r e t u r n   x   +   y   +   z ; } D W O R D   T e s t I n l i n e H o o k ( ) { P A d d r   =   ( B Y T E * ) T e s t   +   1 ; P A d d r   + =   * ( D W O R D * ) P A d d r   +   4 ; S e t I n l i n e H o o k ( ( L P B Y T E ) P A d d r ,   H o o k P r o c , 9 ) ; T e s t ( 1 ,   2 ,   3 ) ; U n I n l i n e H o o k ( 9 ) ; T e s t ( 1 ,   2 ,   3 ) ; r e t u r n   0 ; } i n t   m a i n ( ) { T e s t I n l i n e H o o k ( ) ; / / T e s t ( 1 ,   2 ,   3 ) ; r e t u r n   1 ; }
推 荐 阅 读 ： 推 荐 阅 读 ： 远 程 线 程 注 入 远 程 线 程 注 入 D l l ， 突 破 ， 突 破 S e s s i o n   0 红 队 红 队   |   I A T   H o o k 技 术 实 现 技 术 实 现 本 月 报 名 可 以 参 加 抽 奖 送 暗 夜 精 灵 6 P r o 笔 记 本 电 脑 的 优 惠 活 动 点 赞 ， 转 发 ， 在 看 点 赞 ， 转 发 ， 在 看 原 创 投 稿 作 者 ： B u f f e r
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:22 , Processed in 0.272484 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表