Int 0x2B -> .. ?

Сейчас на форуме: tyns777 (+5 невидимых)

Посл.ответ	Сообщение
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 22 марта 2010 02:29 · Личное сообщение · #1 Здрасте. Интересный теоретический вопрос . Есть такой код: Куда будет передано управление при вызове прерывания(это KiCallbackReturn) ? Никакая память не изменена, исключений также не будет. (Тут экзешник openfile.ru/554658/)

gena-m Ранг: 87.8 (постоянный), 10thx Активность: 0.07↘0 Статус: Участник	Создано: 22 марта 2010 09:18 · Личное сообщение · #2 Не знаю почему, но я попадаю сюда: это comctl32 Code: 773C4261 A1 9C154577 MOV EAX,DWORD PTR DS:[7745159C] 773C4266 85C0 TEST EAX,EAX 773C4268 56 PUSH ESI 773C4269 8B35 5C103C77 MOV ESI,DWORD PTR DS:[<&GDI32.DeleteDC>] ; GDI32.DeleteDC 773C426F 74 03 JE SHORT comctl32.773C4274 773C4271 50 PUSH EAX 773C4272 FFD6 CALL ESI 773C4274 A1 A0154577 MOV EAX,DWORD PTR DS:[774515A0] 773C4279 85C0 TEST EAX,EAX 773C427B 74 03 JE SHORT comctl32.773C4280 773C427D 50 PUSH EAX 773C427E FFD6 CALL ESI 773C4280 8325 A0154577 0>AND DWORD PTR DS:[774515A0],0 773C4287 8325 9C154577 0>AND DWORD PTR DS:[7745159C],0 773C428E E8 B1FEFFFF CALL comctl32.773C4144 773C4293 8325 74154577 0>AND DWORD PTR DS:[77451574],0 773C429A 68 78154577 PUSH comctl32.77451578 773C429F FF15 18123C77 CALL DWORD PTR DS:[<&KERNEL32.DeleteCritical>; ntdll.RtlDeleteCriticalSection 773C42A5 E8 D6690800 CALL comctl32.7744AC80 773C42AA 5E POP ESI 773C42AB C2 0400 RETN 4 что это за функция не смотрел, потом идет на завершение процесса, получается что обнаружение отладчика идет, поскольку без отладчика прога нормально запускается, где это происходит не знаю, возможно без оладчика int 2B и не вызывается, а прога выше делает переход в другую ветку. ----- Надежда - есть худшее из зол, ибо она продлевает наши страдания.© Ф. Ницше
ClockMan Ранг: 568.2 (!), 465thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 22 марта 2010 10:28 · Личное сообщение · #3 Clerk пишет: Куда будет передано управление при вызове прерывания >00401035 всё начинается с адресса >00401033 обработка прерывания и нас выкидывает в 00401016 ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 22 марта 2010 16:44 · Поправил: mak · Личное сообщение · #4 а куда нужно попасть ? Трюки с 2б , 2с , 2е весьма распостранены среди писателей малвари Code: 7E37A740 8BFF MOV EDI,EDI 7E37A742 55 PUSH EBP 7E37A743 8BEC MOV EBP,ESP 7E37A745 83EC 0C SUB ESP,0C 7E37A748 8B45 08 MOV EAX,DWORD PTR SS:[EBP+8] 7E37A74B FF70 18 PUSH DWORD PTR DS:[EAX+18] 7E37A74E 8365 F8 00 AND DWORD PTR SS:[EBP-8],0 7E37A752 8365 FC 00 AND DWORD PTR SS:[EBP-4],0 7E37A756 8D48 08 LEA ECX,DWORD PTR DS:[EAX+8] 7E37A759 51 PUSH ECX 7E37A75A FF70 04 PUSH DWORD PTR DS:[EAX+4] 7E37A75D FF30 PUSH DWORD PTR DS:[EAX] 7E37A75F FF50 1C CALL DWORD PTR DS:[EAX+1C] ; cb.00401021 Code: 00401021 \|. 8B6424 10 MOV ESP,DWORD PTR SS:[ESP+10] 00401025 \|. 61 POPAD 00401026 \. C3 RETN после Code: 0040104A . 50 PUSH EAX 0040104B . 50 PUSH EAX 0040104C . 50 PUSH EAX 0040104D . 8BCC MOV ECX,ESP 0040104F . CD 2B INT 2B попадаем на Code: 00401035 . 33C0 XOR EAX,EAX 00401037 . 8BE7 MOV ESP,EDI 00401039 . FFE6 JMP ESI точнее на Code: 00401037 . 8BE7 MOV ESP,EDI 00401039 . FFE6 JMP ESI так как после 2е одна команда выполняется в пролете ; NTSTATUS ; NtCallbackReturn ( ; IN PVOID OutputBuffer OPTIONAL, ; IN ULONG OutputLength, ; IN NTSTATUS Status ; ) Routine Description: This function returns from a user mode callout to the kernel mode caller of the user mode callback function. 2B отвечает за возврат из прерывания , многое зависит от сервис пака в котором идет отладка в оледбг. Своеобразный метод перехода из ринг3 в ринг0 , можно много чего еще придумать. Типо подменять адрес возврата или чтонить в этом роде ... После еси идем на Code: 00401053 . 90 NOP 00401054 . 90 NOP 00401055 . 90 NOP Когда переходим по инт 2е можно увидеть вот такую вещь Code: 7C91E453 33C9 XOR ECX,ECX 7C91E455 33D2 XOR EDX,EDX 7C91E457 CD 2B INT 2B 7C91E459 CC INT3 ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 22 марта 2010 17:36 · Личное сообщение · #5 mak До кода по адресу 0x401043 выполняется инициализация, собственно интересует прерывание. Для этого на скрине контекст показан. Состояние контекста и стека для кода 0x401007 и 0x401016 одинаково. Вот как определить адрес куда выполнится переход по Int 0x2B.
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 22 марта 2010 19:04 · Личное сообщение · #6 А понятно ..... хз , нужно поковырятся в сторону KeUsermodeCallback и KiUserCallbackDispatcher, вроде возврат идет туда из Int 0x2B и потом все как обычно ... буду дома посмотрю ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 22 марта 2010 21:12 · Поправил: Clerk · Личное сообщение · #7 mak Code: Сохранение и восстановление контекста. QUERY_SERVICE_ID macro mov eax,dword ptr [_imp__EnumDisplayMonitors] mov eax,dword ptr [eax + 1] ; ID NtUserEnumDisplayMonitors endm ; + ; Сохранение контекста. ; o User32.dll инициализирована. ; o Eax: адрес возврата при восстановлении контекста. ; o Сохраняются регистры: ; - EFlags ; - Ebp ; - Ebx ; - Esp ; o NPX не сохраняется. ; SAVE_TASK_STATE macro mov esi,eax mov edi,esp Call @f jmp Break @@: pushad xor ecx,ecx push esp Call @f mov esp,dword ptr [esp + 44] popad ret @@: push* ecx push ecx QUERY_SERVICE_ID mov edx,esp Int 2EH xor eax,eax mov esp,edi jmp esi Break: endm ; + ; Восстановление контекста. ; RESTORE_TASK_STATE macro xor eax,eax mov edx,34 push* eax push eax push eax mov ecx,esp Int 2BH endm Тот код такой: Code: Entry proc invoke MessageBeep, 0 lea eax,offset cbRet SAVE_TASK_STATE xor ebx,ebx xor esi,esi xor edi,edi xor ebp,ebp RESTORE_TASK_STATE int 3 int 3 cbRet: nop nop nop ret Entry endp
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 23 марта 2010 13:30 · Поправил: mak · Личное сообщение · #8 я так понял что ты используешь промежуточный выход в усермод при вызове определенного сервиса , когда случается Int 2EH , контекст должен сохраниться , когда же мы вернемся из прерывания то мы должны оказаться там где были , то есть после инт 2е Code: 7C90EAD0 ntdll.KiUserCallbackDispatcher 83C4 04 ADD ESP,4 7C90EAD3 5A POP EDX 7C90EAD4 64:A1 18000000 MOV EAX,DWORD PTR FS:[18] ; eax=TEB 7C90EADA 8B40 30 MOV EAX,DWORD PTR DS:[EAX+30]; EAX=PEB 7C90EADD 8B40 2C MOV EAX,DWORD PTR DS:[EAX+2C]; EAX=KernelCallbackTable 7C90EAE0 FF1490 CALL DWORD PTR DS:[EAX+EDX4]; call dword ptr KernelCallbackTable[edx4] 7C90EAE3 33C9 XOR ECX,ECX 7C90EAE5 33D2 XOR EDX,EDX 7C90EAE7 CD 2B INT 2B ;!idt -a -> 2b:80540d20 nt!KiCallbackReturn 7C90EAE9 CC INT3 Тут вызовется CALL DWORD PTR DS:[EAX+EDX4] ; __ClientMonitorEnumProc Весь ее код Code: 7C90EAD3 5A POP* EDX 7C90EAD4 64:A1 18000000 MOV EAX,DWORD PTR FS:[18] 7C90EADA 8B40 30 MOV EAX,DWORD PTR DS:[EAX+30] 7C90EADD 8B40 2C MOV EAX,DWORD PTR DS:[EAX+2C] 7C90EAE0 FF1490 CALL DWORD PTR DS:[EAX+EDX4] 7C90EAE3 33C9 XOR* ECX,ECX 7C90EAE5 33D2 XOR EDX,EDX 7C90EAE7 CD 2B INT 2B 7C90EAE9 CC INT3 После INT 2B в Code: 7C90EAE3 33C9 XOR ECX,ECX 7C90EAE5 33D2 XOR EDX,EDX 7C90EAE7 CD 2B INT 2B 7C90EAE9 CC INT3 мы уже не вернемся сюда , а если и вернемся то произошла серьезная ошибка , если я правильно понял то при переходе в усермод , ты сам выполняешь недостающий участок кода типа Int 2BH После этого идем на KeUsermodeCallback , где получаем адрес стека в Р3 из сохраненного контекста р3, в KTRAP_FRAME структуре нашего потока. Получается всю информацию по возврату нужно искать где то в сохранном контексте , или же может что то типа Interrupt Stack Table , с которой я не имел дела Ни у кого больше мнений нет ?! ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 23 марта 2010 17:39 · Поправил: Clerk · Личное сообщение · #9 mak Верно, при вызове теневого калбэка трап-фрейм сохраняется, существует стек калбэков. При возврате в ядро трап-фрейм восстанавливается, в частности флажки, что позволяет сбросить TF. Тут юзермодный код перечисляющий фреймы в стеке и выводящий Ip каждого фрейма(в блоге это описал): http://indy-vx.narod.ru/Bin/Callout.zip Без доступа к ядерной памяти нельзя определить куда будет выполнен возврат
HiEndsoft Ранг: 237.0 (наставник), 20thx Активность: 0.13↘0 Статус: Участник sysenter	Создано: 25 марта 2010 13:37 · Личное сообщение · #10 Clerk Сделал бы сайт себе, было бы что почитать. ----- продавец резиновых утёнков
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 25 марта 2010 18:32 · Личное сообщение · #11 Так как мнений ни у кого больше нет, закрою ветку.

Для печати