Прототип KiUserApcDispatcher

Доброго здравия форумчанам.
Думаю, сразу можно позвать Indy_, речь всё о том же.
Чтобы отловить все апк, перехватываю KiUserApcDispatcher, но при попытке вызвать оригинал, обламываюсь на Access Violation в недрах KiUserCallForwarder.

Пробовал прототип с hex.pp.ua, пробовал такой:

Код (C):

1.  
2. VOID NTAPI KiUserApcDispatcher(
3.     PVOID NormalContext,
4.     PVOID SystemArgument1,
5.     PVOID SystemArgument2,
6.     CONTEXT Context // Целиком в стеке
7. );
8.  

И прототип из WRK:

Код (C):

1.  
2. VOID NTAPI KiUserApcDispatcher(
3.     PVOID NormalContext,
4.     PVOID SystemArgument1,
5.     PVOID SystemArgument2,
6.     PVOID NormalRoutine
7. );
8.  

И на каждом прототипе при вызове оригинала получаю AV в KiUserCallForwarder на jmp rax. Win10 x64, использую MinHook. Как, всё-таки, перехватить его правильно?

 

HoShiMin, неправильно ставишь хук, иных вариантов нет (вряд ли ниже rsp лежат данные, которые ты затираешь в обработчике хука. наверняка выравнивание стека сбилось). Попробуй обойтись без либы - использовать банальный сплайсинг.
Обработчик будет примерно таким:

Код (C):

1. void __declspec(naked) wrapper_Render()
2. {
3.     __asm
4.     {
5.         pushad
6.         pushfd
7.  
8.         call [handler_Render]
9.  
10.         popfd
11.         popad
12.  
13.         push ebp //see disasm
14.         lea ebp, [esp - 0x74]
15.         jmp [retAddr_Render]
16.     }
17. }

Тк пишешь под x64 - необходимо сохранять регистры в соответствии с соглашениями (киньте линк, где-то тут на форуме пдф валялась)
// http://agner.org/optimize/calling_conventions.pdf

 

У тс задача очень долгое время длится. Так как это не простая задача. Это локальное решение части общей задачи по анти инжектам.

HoShiMin,

Я дал вам общее решение, которое покрывает данное частное.

Вы ведь понимаете что установка протект-фильтра в памяти юм не возможна, обсуждали ведь.

А сам вопрос - что то крэшит, так откройте доки/маны/сурки и гляньте, я не вижу даже вопроса. Как описать крэш, его причины и прочее примитивное - думаю как то глупо и не уместно мой ник упомянать в таких вопросах. Эта примитивная рутина по разбору ошибок.

 

Сколько ни пытаюсь нормально перехватить, не получается.
Исходя из того, что передаётся в KiUserCallForwarder:
RAX = [RSP + 18h] - адрес прыжка на APC-процедуру в KiUserCallForwarder
RCX = [RSP] -???
RDX = [RSP + 8] - ???
R8 = [RSP + 10h] - ???
R9 = RSP - указатель на CONTEXT, который дальше пойдёт в NtContinue

Написал "сырой" обработчик с мостиком в сишный код:

Код (ASM):

1.  
2. PUBLIC KiUserApcHandler
3.  
4. .CODE
5.     EXTRN ApcHandler: PROC
6.     EXTRN OriginalKiUserApcDispatcher: PROC
7.  
8.     KiUserApcHandler PROC
9.         int 3h
10.         push rax
11.         push rcx
12.         mov rcx, rsp
13.         add rcx, 16
14.         call ApcHandler
15.         test rax, rax
16.         pop rcx
17.         pop rax
18.         jz Exit
19.         call OriginalKiUserApcDispatcher
20. Exit:
21.         ret
22.     KiUserApcHandler ENDP
23. END
24.  

Обработчик ApcHandler:

Код (C):

1.  
2. BOOL FASTCALL ApcHandler(PCONTEXT Context) {
3.     // ... Смотрим, что лежит в Context ...
4.     return TRUE;
5. }
6.  

В Context лежит мусор. Что же, всё-таки, лежит в стеке и по каким смещениям?
MinHook сплайсит цепочками jmp'ов, регистры не меняет, стек не двигает.

Indy_, визор - техника фундаментальная, не спорю (с рк-атакой на MmSecureVirtualMemory для анклавов ознакомился). Но из общих соображений, поставив фильтры на память, загрузку модулей и потоки, отфильтровал уже львиную долю возможных инжектов, включая ядерные. И более того, как побочный эффект, для отдельно взятых процессов можно детектить даже подгрузку сторонних модулей через подмену импортов у доверенных библиотек (или самих библиотек), от чего не защитит визор.

И всё же, вопрос скорее не об исправлении ошибок, а о том, как правильно перехватить нестандартную функцию, у которой все аргументы, несмотря на FASTCALL, лежат в стеке.

 

Быстрофикс. Не знаю, чей CONTEXT лежит в стеке, но пусть он и наполовину мусорный (почему?), но CS, SS и EFlags выглядят как и положено, а в P1Home (первое поле в CONTEXT) лежит адрес моей апк.
Похоже на то, что я получил что хотел, но насколько это правильно? Действительно ли на х64 при входе в KiUserApcDispatcher вершина стека указывает на CONTEXT, и первое же поле (для адреса возврата, если сделать ret?) - адрес апк?

 

HoShiMin,

> для отдельно взятых процессов можно детектить даже подгрузку сторонних модулей через подмену импортов у доверенных библиотек (или самих библиотек), от чего не защитит визор.

Это уже не задачи визора, он даст сервисные события, а их нужно соотвествующим образом обрабатывать. Вопрос проверки модулей ранее подробно рассматривался, это не решается в общем случае. Как узнать что модуль системный ?

Делалось через запрос к службе sfc. Даже если модуль не системный, то он может быть каким то расширением, например ав. Или что то загружается в режиме совместимости.. Видимо нужно отловить событие инжекта, а его полезная нагрузка в случае защиты значения не имеет.

> Похоже на то, что я получил что хотел, но насколько это правильно? Действительно ли на х64 при входе в KiUserApcDispatcher вершина стека указывает на CONTEXT

Нужно изучить этот интерфейс, тоесть посмотреть какие и как параметры передаются из км, как они обрабатываются в юм. А главное сравнить как интерфейс меняется в версиях, может ли он меняться.

 

Апну тему, все же смежный вопрос. Почти

А NtCreateDebugObject а Вин10 все еще присутствует? Всмысле никаких изменений по поводу этой функи небыло? И аксесс маска DEBUG_OBJECT_TERMINATE все еще работает? Для выполнения только дебаг привилегия нужна?