Странные перехваты (hook kernel)

Тема в разделе "WASM.RESEARCH", создана пользователем TermoSINteZ, 12 сен 2010.

  1. TermoSINteZ

    TermoSINteZ Синоби даоса Команда форума

    Публикаций:
    2
    Регистрация:
    11 июн 2004
    Сообщения:
    3.546
    Адрес:
    Russia
    Приветствую вас. Давненько не создавал тем. Впрочем, к делу.
    Есть система - XP SP3 32bit.
    Была проверка системы тузлой Rku 3.8.386.589.
    В общем в списке прерываний перехвачены:
    int 64
    int 63
    int 73
    int 74
    int 84
    int 93
    int 94
    int а4
    int b1
    int b4
    int b5
    Все они ведут в unknown_code_page. Анхукером не снимается.
    Система эта не у меня, человек сидит под админом (по этому поводу флеймить не надо). Ну и полный дамп памяти пока нет возможности сделать.
    Приложу еще высланные мне отчеты рку и + дамп mbr (вроде он впорядке)

    Вопрос первый - что это может быть? Реально ли опасное чето. Или это тупости РКУ. Возможно кто-то сталкивался. Да, инфы не много. Но все же, ваши мысли ..)
     
  2. Clerk

    Clerk Забанен

    Публикаций:
    0
    Регистрация:
    4 янв 2008
    Сообщения:
    6.689
    Адрес:
    РБ, Могилёв
    TermoSINteZ
    Часто рку работает не корректно. Не знаю с чем это связано(не смотрел). Нужно помотреть чемнибудь ISR любой ловушки к примеру, которая в логе показана как изменённая.
     
  3. TermoSINteZ

    TermoSINteZ Синоби даоса Команда форума

    Публикаций:
    2
    Регистрация:
    11 июн 2004
    Сообщения:
    3.546
    Адрес:
    Russia
    Clerk
    Есть какие тулы чтоб железно глянуть эти места?

    Кстати, еще инфа. После каждого рескана этим RKU, адреса меняются, и память по этим адресам (в ловушке), если смотреть из виндебага и сдампить фулл мемдамп рку - в дампах разная. Но не на всех INT, а на некоторых.
     
  4. gorodon

    gorodon New Member

    Публикаций:
    0
    Регистрация:
    19 окт 2009
    Сообщения:
    301
    TermoSINteZ
    Попробуйте версию 3.8.388.590 - она, вроде, получше работает... и скан "Stealth Code" работает.
    У меня тоже иногда вылезают перехваченные прерывания, но я делаю несколько запусков рку - раз на раз не приходится (скорее всего, внутрение недоработки рку, как сказал Clerk).
    Можно еще сравнить результаты с gmer-ом.
     
  5. TermoSINteZ

    TermoSINteZ Синоби даоса Команда форума

    Публикаций:
    2
    Регистрация:
    11 июн 2004
    Сообщения:
    3.546
    Адрес:
    Russia
    gorodon
    GMER бсодит кстати.
    презапуски текущего рку дают одно и тоже. РКУ 590 попробуем. Как будет инфа - отпишу.
     
  6. gorodon

    gorodon New Member

    Публикаций:
    0
    Регистрация:
    19 окт 2009
    Сообщения:
    301
    :-( У них на сайте есть еще консольная утилита-аналог catchme.exe - попробуйте ей.
     
  7. TermoSINteZ

    TermoSINteZ Синоби даоса Команда форума

    Публикаций:
    2
    Регистрация:
    11 июн 2004
    Сообщения:
    3.546
    Адрес:
    Russia
    r3 тузла. Вообще толку ноль.
    Надо что-то рабочее. По мимо рку, чтоб хотя бы глянуть IDT полностью, анализ увидеть. Ну если уж нету мыслей других.
     
  8. wsd

    wsd New Member

    Публикаций:
    0
    Регистрация:
    8 авг 2007
    Сообщения:
    2.824
    TermoSINteZ
    принудительный крашдамп?
     
  9. Clerk

    Clerk Забанен

    Публикаций:
    0
    Регистрация:
    4 янв 2008
    Сообщения:
    6.689
    Адрес:
    РБ, Могилёв
    Отладчик взять, или простейший дров написать читающий дескриптор и несколько страниц с ISR.
     
  10. Bazhan

    Bazhan Андрей

    Публикаций:
    0
    Регистрация:
    8 янв 2008
    Сообщения:
    71
    Адрес:
    Украина
    берем эту тулз
    http://technet.microsoft.com/en-us/sysinternals/bb897415.aspx
    и вот эту http://www.microsoft.com/whdc/devtools/debugging/installx86.mspx#b
    смотрим idt
    !idt /a
     
  11. TermoSINteZ

    TermoSINteZ Синоби даоса Команда форума

    Публикаций:
    2
    Регистрация:
    11 июн 2004
    Сообщения:
    3.546
    Адрес:
    Russia
    Clerk
    Если бы у меня был физ доступ к компу - я бы сам давно уже все проверил включив отладку по нульмодему и не создавал бы тему эту.

    RKU 590 дал сл результ (см аттач)

    Bazhan
    Возможно чел попробует это сделать. Ок.
     
  12. ivan2k2

    ivan2k2 New Member

    Публикаций:
    0
    Регистрация:
    28 янв 2006
    Сообщения:
    95
  13. TermoSINteZ

    TermoSINteZ Синоби даоса Команда форума

    Публикаций:
    2
    Регистрация:
    11 июн 2004
    Сообщения:
    3.546
    Адрес:
    Russia
    Короче отбой пока что. Походу lkd прояснил ситуацию. (см идт в аттаче)
    Короче RKU тупит. Адреса не может распознать потому, что там chained записи (ну походу из за этого). И модуль spdt кстати там.
    Код (Text):
    1. b4: 8b1bd044 8b32bcc8 (KINTERRUPT 8b1bd008)
    2.         8b32bcc8 (KINTERRUPT 8b1bc008)
    3.         8b03bcc8 (KINTERRUPT 8aaf5008)
    Код (Text):
    1. lkd> dt nt!_KINTERRUPT 8b1bd008
    2.   +0x000 Type             : 22
    3.   +0x002 Size             : 484
    4.   +0x004 InterruptListEntry : _LIST_ENTRY [ 0x8b1bc00c - 0x8aaf500c ]
    5.   +0x00c ServiceRoutine   : 0x8b32bcc8     unsigned char  +ffffffff8b32bcc8            --<< обратите внимание
    6.   +0x010 ServiceContext   : 0x8b220040
    7.   +0x014 SpinLock         : 0
    8.   +0x018 TickCount        : 0xffffffff
    9.   +0x01c ActualLock       : 0x8b1bd26c  -> 0
    10.   +0x020 DispatchAddress  : 0x805454a0     void  nt!KiChainedDispatch+0
    11.   +0x024 Vector           : 0x1b4
    12.   +0x028 Irql             : 0xa ''
    13.   +0x029 SynchronizeIrql  : 0xa ''
    14.   +0x02a FloatingSave     : 0 ''
    15.   +0x02b Connected        : 0x1 ''
    16.   +0x02c Number           : 0 ''
    17.   +0x02d ShareVector      : 0x1 ''
    18.   +0x030 Mode             : 0 ( LevelSensitive )
    19.   +0x034 ServiceCount     : 0
    20.   +0x038 DispatchCount    : 0xffffffff
    21.   +0x03c DispatchCode     : [106] 0x56535554
    Код (Text):
    1. lkd> u 0x8b32bcc8
    2. 8b32bcc8 54              push    esp
    3. 8b32bcc9 687ee61af7      push    offset atapi!IdePortInterrupt (f71ae67e)
    4. *** ERROR: Module load completed but symbols could not be loaded for sptd.sys
    5. 8b32bcce b89c9328f7      mov     eax,offset sptd+0x1639c (f728939c)
    6. 8b32bcd3 6808b0328b      push    8B32B008h
    7. 8b32bcd8 ffd0            call    eax
    8. 8b32bcda c20800          ret     8
    А вот нормальный вектор с известным модулем:
    Код (Text):
    1. lkd> dt nt!_KINTERRUPT 8a23a008
    2.   +0x000 Type             : 22
    3.   +0x002 Size             : 484
    4.   +0x004 InterruptListEntry : _LIST_ENTRY [ 0x8a22000c - 0x8aad700c ]
    5.   +0x00c ServiceRoutine   : 0xf70a7ed2     unsigned char  NDIS!ndisMIsr+0
    6.   +0x010 ServiceContext   : 0x8a7e7228
    7.   +0x014 SpinLock         : 0
    8.   +0x018 TickCount        : 0xffffffff
    9.   +0x01c ActualLock       : 0x8a23a26c  -> 0
    10.   +0x020 DispatchAddress  : (null)
    11.   +0x024 Vector           : 0x173
    12.   +0x028 Irql             : 0x6 ''
    13.   +0x029 SynchronizeIrql  : 0x6 ''
    14.   +0x02a FloatingSave     : 0 ''
    15.   +0x02b Connected        : 0x1 ''
    16.   +0x02c Number           : 0 ''
    17.   +0x02d ShareVector      : 0x1 ''
    18.   +0x030 Mode             : 0 ( LevelSensitive )
    19.   +0x034 ServiceCount     : 0
    20.   +0x038 DispatchCount    : 0xffffffff
    21.   +0x03c DispatchCode     : [106] 0x56535554
    В общем вроде все в порядке. По крайней мере в текущих данных.
    Тему пока оставлю открытой.