Возврат в KiUserExceptionDispatcher из ISR

Сейчас на форуме: tyns777 (+4 невидимых)

Посл.ответ	Сообщение
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 03 августа 2010 14:19 · Личное сообщение · #1 Привет всем добрым людям, вопрос следующего характера: недавно дебажил какой-то Хасповский драйвер, перехватывающий _KiTrap06. Для тех, кто не повторял такие подвиги, скажу, что периодически приложение, защищённое хаспом (правда, справедливо для старых версий) генерит исключение Invalid Opcode, которое перехватывается хасповским дровом, далее идёт работа с ключом (но нам сейчас это неинтересно), а потом происходит возврат из исключения банально через IRET. НО! При таком раскладе исключение не разворачивается в юзермоде. Т.е. для NT-систем не происходит передачи управления на KiUserExceptionDispatcher. Скажите, люди добрые, как можно обработать исключение (или прерывание, думаю, тут не принципиально) так, чтоб возврат в вышеупомянутую юзермодную функцию всё-таки осуществился? ----- Stuck to the plan, always think that we would stand up, never ran.

int Ранг: 101.0 (ветеран), 344thx Активность: 1.15↘0 Статус: Участник	Создано: 03 августа 2010 14:28 · Личное сообщение · #2 Сделать свой драйвер и ловить (через хук) KiDispatchException
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 03 августа 2010 14:41 · Личное сообщение · #3 А как же его ловить, если он, собственно, и не вызывается? Может, его надо как-то вызывать? Сейчас вписал в гугль "KiDispatchException" и получил всё, кроме того, что нужно (( Тут, по-хорошему, прототипчик бы помог и IRQL, на котором это вызывается, или какая-то ссылочка толковая... ----- Stuck to the plan, always think that we would stand up, never ran.
n0name Ранг: 61.4 (постоянный), 1thx Активность: 0.02↘0 Статус: Участник	Создано: 03 августа 2010 14:46 · Личное сообщение · #4 wrk
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 03 августа 2010 14:55 · Личное сообщение · #5 n0name А там (в этих долбаных мегабайтах кода) оно всё есть? А то я прямо сейчас не могу проверить... ----- Stuck to the plan, always think that we would stand up, never ran.
int Ранг: 101.0 (ветеран), 344thx Активность: 1.15↘0 Статус: Участник	Создано: 03 августа 2010 15:00 · Личное сообщение · #6 Как я понимаю не вызывается в юзермоде, значит перехватывается в нуле и дальше обрывается. Надо перехватить раньше дрова защиты.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 03 августа 2010 15:03 · Личное сообщение · #7 Лучше скажи, что для чего надо. Проще снять хук, может? Вообще странно несколько, как они работают с кодом, который патчит ядро. И как на это смотрит х64 с патчгардом и подписью дров.
n0name Ранг: 61.4 (постоянный), 1thx Активность: 0.02↘0 Статус: Участник	Создано: 03 августа 2010 16:16 · Личное сообщение · #8 Code: VOID KiDispatchException ( IN PEXCEPTION_RECORD ExceptionRecord, IN PKEXCEPTION_FRAME ExceptionFrame, IN PKTRAP_FRAME TrapFrame, IN KPROCESSOR_MODE PreviousMode, IN BOOLEAN FirstChance ) /++ Routine Description: This* function is called to dispatch an exception to the proper mode and to cause the exception dispatcher to be called. If the previous mode is kernel, then the exception dispatcher is called directly to process the exception. Otherwise the exception record, exception frame, and trap frame contents are copied to the user mode stack. The contents of the exception frame and trap are then modified such that when control is returned, execution will commense in user mode in a routine which will call the exception dispatcher. Arguments: ExceptionRecord - Supplies a pointer to an exception record. ExceptionFrame - Supplies a pointer to an exception frame. For NT386, this should be NULL. TrapFrame - Supplies a pointer to a trap frame. PreviousMode - Supplies the previous processor mode. FirstChance - Supplies a boolean value that specifies whether this is the first (TRUE) or second (FALSE) chance for the exception. Return Value: None. --*/
V0ldemAr Ранг: 65.4 (постоянный), 10thx Активность: 0.02↘0 Статус: Участник	Создано: 03 августа 2010 16:38 · Поправил: V0ldemAr · Личное сообщение · #9 Вызов KeUserExceptionDispatcher будет тогда если исключение небыло обработано в кернел моде вы же сами сказали что хасп драйвер хучит int6 и возвращается через IRET из этого логично предположить что KiDispatchException небудет вызвано. Как вариант вызовите свое int6 исключение и отследите как хасп это обработает должен впринцыпе передать управление ISR в ntoskrnl. (только не ставте бряк на первую инструкцию так как отладчик свалится) Archer пишет: И как на это смотрит х64 с патчгардом и подписью дров. Неработает т.е. непотдерживается... большинство старых донгл защит только x86
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 03 августа 2010 18:04 · Личное сообщение · #10 ARCHANGEL > При таком раскладе исключение не разворачивается в юзермоде. Фолт доставляется в лузермод если он возник в нём и не обработан ядром или отладчиком. > возврат из исключения банально через IRET. Это делается средствами Kei386EoiHelper().
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 03 августа 2010 22:18 · Личное сообщение · #11 Sources of UCL's Hasp emulator driver. Fixed to compile and work under Win2K. No binaries included. Provided to educational purposes only! mamaich.uni.cc/files/MeteoFixed.rar ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 03 августа 2010 22:53 · Поправил: Clerk · Личное сообщение · #12 mak Там внесистемный трап процессинг, за который автору руки отсечь. Конечно можно поступить как предложил Грейт(использовать KINTERRUPT), вот только это не решит проблему - ENTER_INTERRUPT макро инициирует цепочку сех, изза этого исключения возникающий в этом хэндлере не будут обрабатываться сех, так как цепочка сех предыдущего ISR завершена. Необходимо сформировать код формирующий трап фрейм, после чего могут быть размаскированы прерывания и использоваться сех и подкачиваемая память. А код этот различен в версиях, хотя не проблема некоторые необходимые смещения найти вручную. Тут http://files.virustech.org/indy/Code/XcptIp/ лежит семпл по теме: Code: ; Надстройка выполняет обработку #UD, возникшего в U-mode. Об ; рабатывается инструкция Ud2(0F0B) без префиксов: Eax - соде ; ржит ссылку на инструкцию. Длина этой инструкции определяет ; ся и возвращается в регистре Eax. При обнаружении инвалидно ; й ссылки в юзермоде разворачивается #STATUS_ILLEGAL_INSTRUC ; TION(можно изменить код на #AV).
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 04 августа 2010 16:27 · Личное сообщение · #13 он достаточно старый сам по себе, писался давно, как бы не было думаю поможет Архангелу внести немного ясности в вопрос, тем более непострадественно с хаспом работают, тему по перехвату 6 инта как то тут заводил Hook & Revers int 6 , но задача была специфична, да и тема далеко не пошла. Поэтому мне кажется если сам не разберешься то дело туго ... а подсмотреть было бы классно Интересно , нужно глянуть твой код =) ПС. Не знаю куда ты ложишь свои работы на народ или виртех, но на народе нет такой расфасовки классной как на вир техе) в плане удобства. ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 04 августа 2010 17:03 · Поправил: Clerk · Личное сообщение · #14 mak Так всё просто, даже если ISR свои ставить. Исключение разворачивается системой как и сказали выше в KiDispatchException(). Но она не экспортируется, а при трап-процессинге ядро использует стабы для неё, это CommonDispatchExceptionXX(). Они также не экспортируются, но поиск их очень прост: Code: ;++ ; ; CommonDispatchException ; ; Routine Description: ; ; This routine allocates exception record on stack, sets up exception ; record using specified parameters and finally sets up arguments ; and calls _KiDispatchException. ; ; NOTE: ; ; The purpose of this routine is to save code space. Use this routine ; only if: ; 1. ExceptionRecord is NULL ; 2. ExceptionFlags is 0 ; 3. Number of parameters is less or equal than 3. ; ; Otherwise, you should use DISPATCH_EXCEPTION macro to set up your special ; exception record. ; ; Arguments: ; ; (eax) = ExcepCode - Exception code to put into exception record ; (ebx) = ExceptAddress - Addr of instruction which the hardware exception occurs ; (ecx) = NumParms - Number of additional parameters ; (edx) = Parameter1 ; (esi) = Parameter2 ; (edi) = Parameter3 ; ; Return Value: ; ; None. ; ;-- CommonDispatchException0Args: xor ecx, ecx ; zero arguments call CommonDispatchException CommonDispatchException1Arg0d: xor edx, edx ; zero edx CommonDispatchException1Arg: mov ecx, 1 ; one argument call CommonDispatchException ; there is no return CommonDispatchException2Args0d: xor edx, edx ; zero edx CommonDispatchException2Args: mov ecx, 2 ; two arguments call CommonDispatchException ; there is no return public CommonDispatchException align dword CommonDispatchException proc cPublicFpo 0, ExceptionRecordLength/4 ; ; Set up exception record for raising exception ; sub esp, ExceptionRecordLength ; allocate exception record mov dword ptr [esp]+ErExceptionCode, eax ; set up exception code xor eax, eax mov dword ptr [esp]+ErExceptionFlags, eax ; set exception flags mov dword ptr [esp]+ErExceptionRecord, eax ; set associated exception record mov dword ptr [esp]+ErExceptionAddress, ebx mov dword ptr [esp]+ErNumberParameters, ecx ; set number of parameters cmp ecx, 0 je short de00 lea ebx, [esp + ErExceptionInformation] mov [ebx], edx mov [ebx+4], esi mov [ebx+8], edi de00: ; ; set up arguments and call _KiDispatchException ; mov ecx, esp ; (ecx)->exception record .errnz (EFLAGS_V86_MASK AND 0FF00FFFFh) test byte ptr [ebp]+TsEFlags+2,EFLAGS_V86_MASK/010000h jz short de10 mov eax,0FFFFh jmp short de20 de10: mov eax,[ebp]+TsSegCs de20: and eax,MODE_MASK ; 1 - first chance TRUE ; eax - PreviousMode ; ebp - trap frame addr ; 0 - Null exception frame ; ecx - exception record addr stdCall _KiDispatchException,<ecx, 0, ebp, eax, 1> mov esp, ebp ; (esp) -> trap frame jmp _KiExceptionExit CommonDispatchException endp trap.asm, модель вызова не меняется в версиях. В кодосекции ядра ищется код [CommonDispatchException0Args % CommonDispatchException] используя маску для процедурных ветвлений. Отсюда можно найти KiDispatchException(), хотя стабов достаточно. - Второй способ доставить фолт в лузермод - непосредственно переход по нужному вектору в IDT. Очищается текущий ядерный стек(пользовательский переключается на него из TSS.Esp0, он уже переключен в ISR) и формируется на его дне IRET-фрейм, после чего выполняется переход по нужному вектору в IDT(например на KiTrap0E для #PF), просто извлекая адрес для перехода из соответствующего дескриптора. - Только вот как и говорил вся проблема в формировании трап-фрейма.

Для печати