kernel-mode перехват для антивируса

не испортит, просто в стеке останется ещё один адрес возврата старый, который будут адресом возврата для перехватчика, он его затрёт своей командой ret и вернётся в код вызвавший api функциию

а откуда ещё процедуре брать адрес возврата? она подразумевает что он лежит на вершине стака!

 

Вообще-то у процедур бывают параметры. И передаются они часто через стек. И лежат они сразу выше адреса возврата. И если сделать лишний "push loc_1" непосредственно перед процедурой, то адресом возврата будет считаться loc_1, а параметры полетят: первым параметром будет считаться "настоящий" адрес возврата, вторым параметром - "настоящий" первый параметр и т.д.

 

Если stdcall вызов, а таких большинство, то если есть параметры в функции, возврат будет посредством ret n*4, где n-число параметров. Если ты запихнёшь в стек в начале функции что-либо, во первых параметры сместятся, первым параметром окажется твоё значение, а по возврату командой ret n*8 в стеке останется последний параметр. Не говоря даже про команду push не в начале функции. А для KiSystemService возврат из sysenter выполняется командой sysexit, либо если вход выполнен посредством Int2Eh то возврат командой iretd.

 

процедура вообще может не предусматривать возврат

 

Параметры я как то не учёл =) а без них работает! ну а функции которые не предусматривуют возврат нет смысла перехватывать

 

угу, пусть выполняют свой невыгружаемый код

 

Код (Text):

1. KiSystemServiceRepeat:
2.         mov     edi, eax                ;copy system service number
3.         shr     edi, SERVICE_TABLE_SHIFT ; isolate service table number
4.         and     edi, SERVICE_TABLE_MASK ;
5.         mov     ecx, edi                ; save service table number
6.         add     edi, [esi]+ThServiceTable ; compute service descriptor address
7.         mov     ebx, eax                ; save system service number
8.         and     eax, SERVICE_NUMBER_MASK ; isolate service table offset

Одинаковый в Xp и Vista;
Интересна команда:
and eax,SERVICE_NUMBER_MASK, код 00000FFF25h
Для перехвата KiSystemServiceRepeat нужно расположить обработчик по адресу, вычисленному так, чтобы смещение в команде jmp near указывало на этот обработчик с учётом того, что младший байт смещения равен нулю и затем командой обмена с перефиксом lock загрузить смещение обработчика(старшие 3 байта с опкодом 0E9h) по адресу инструкции and eax, SERVICE_NUMBER_MASK. Это будет выполнено на атомарном уровне.

 

Как вызвать напрямую функцию похуканую кем то через ssdt в обход этого хука?

 

Никак нельзя.

 

Clerk Вранье, можно. Но я не скажу как.

 

Удачи, впринципе можно восстановить функцию или пройтись по секции кода ntos, заменив все ссылки на данный обработчик, или установить свой обработчик KisystemCallEntry(KisystemService) и KiSystemServiceRepeat с модификациеё MSR, но надо будет также патчить ntos(там вроде две проверки содержимого MSR_SYSENTER_EIP).
К примеру, функции ntos!ZwXX передают управление на KiSystemServiceRepeat командой jmp near, можно и тут похукать. Всё это слишком геморойно. Это если под вызовом иметь ввиду вызов из UserMode, из KM можно вручную вызвать.

 

Clerk
Это называется трахаться стоя в гамаке и в противогазе - то, что ты написал

Ничего не снимается, ничего не патчится (практически)

 

Ну антируткиты же как то востанавливают такие функции, а мне нужно её не востанавливать а просто узнать её реальный адрес чтобы обратится на прямую

ps мне из KernelMode надо

 

LOL

+1

короче извращения продолжаются, закрыли бы лучше бредотопик

 

2FED
Адрес какой функции ?
Адреса сервисов в SST, оригинальные из образа ntos, KiSystemServiceRepeat смотри в разделе Projects, мой посл. пост.

 

Ну вот например антивирус мне выдаёт следующие

Код (Text):

1. Функция NtCreateKey (29) перехвачена (8056E761->F8507FE0), перехватчик C:\WINDOWS\system32\Drivers\a347bus.sys, драйвер опознан как безопасный

Это драйвер Alcohol 120% перехватил эту функцию, тоесть я так понял если я вызову её из своего драйвера то попаду сначала на F8507FE0, а как мне попасть сразу на 8056E761?

 

Дамп покажи.

 

дамп чего?

 

8056E761h

 

вот