Перехват ZwWriteFile в ядре...

[sasha_s7]

Написал простой драйверок. Перехватил  ZwWriteFile через SDT. Запустил аппликуху в юзерспайсе которая открывает, пишет, закрывает файл и все в цикле. Результат -- НОЛЬ! Перехватываются только вызовы из ядра -- т.е. когда я загружаю какой-нидь другой драйвер, в котором лог пишу, то тогда вызывается моя перехваченная ZwWriteFile, а из юзерспайса -- НОЛЬ!
В чем грабли? Чего я не учел?

[sss]

Номер затычки Int 2E = 0x00ED ?

[sasha_s7]

Извиняй, но я не совсем понял твой жаргон ).

Я это все юзаю под XP, а под ней для вызова сервиса в ядре используется команда "sysenter", а не int 2E как в win2000...

[ILIS]

нужно перехватывать NtWriteFile, экспортируемую ntoskrnl.exe

[sasha_s7]

Какой номер в SDT у NtWriteFile? Насколько я знаю -- тот же самый что и у ZwWriteFile...

[sasha_s7]

Сформирую вопросс иначе:
Что надо перехватить (желательно индекся функций в SDT) что бы перехватить все операции записи в файлы (открытые, созданные неважно какими функциями) как в кернеле, так и в юзерспайсе???

[ILIS]

Чтобы узнать индекс какой-то нейтив апи загрузи ntdll.dll в IDA и посмотри тело функции, там обычно в eax загружается ее индекс напр.
 public ZwWriteFile
.text:7C90E9F3 ZwWriteFile:                            ; CODE XREF: .text:7C9311E6p
.text:7C90E9F3                 mov     eax, 112h        ; NtWriteFile
.text:7C90E9F8                 mov     edx, 7FFE0300h
.text:7C90E9FD                 call    dword ptr [edx]
.text:7C90E9FF                 retn    24h

[XKey]

а может подскажите где накопать индексы SDTдля XP?2003?

[sasha_s7]

Есть такая тулза SDTRestore, в ней есть код по определению индекса ф-ции...
Поищи гуглом, она с исходниками идет...

вот пробежка по таблице экспортов и выцепление номера для каждой ф-ции:

Код:

for(DWORD i = 0; i < numEntries; i++)
{		
	// i now contains the index of the API in the Ordinal Table
	// ptr points to Export directory table
	WORD ordinalValue = ExportOrdinalTable[i];		
	DWORD apiAddr = (DWORD)ExportAddrTable[ordinalValue] + hModule;
	char *exportName = (char *)(ExportNamePointerTable[i] + hModule);
		
	// Win2K
	if(ov.dwMinorVersion == 0 &&
	   *((unsigned char *)apiAddr) == 0xB8 && 
	   *((unsigned char *)apiAddr + 9) == 0xCD && 
	   *((unsigned char *)apiAddr + 10) == 0x2E)
	{
		DWORD serviceNum = *(DWORD *)((char *)apiAddr + 1);
		if (strcmp(exportName, func_name) == 0)
			func_num = serviceNum;
		if (serviceNum < count_funcs)
			strcpy(out_buf + serviceNum*len_one_element, exportName);
	}
	// WinXP
	else if(ov.dwMinorVersion == 1 &&
		*((unsigned char *)apiAddr) == 0xB8 && 
		*((unsigned char *)apiAddr + 5) == 0xBA && 
		*((unsigned char *)apiAddr + 6) == 0x00 &&
		*((unsigned char *)apiAddr + 7) == 0x03 &&
		*((unsigned char *)apiAddr + 8) == 0xFE &&
		*((unsigned char *)apiAddr + 9) == 0x7F)
	{
		DWORD serviceNum = *(DWORD *)((char *)apiAddr + 1);
		if (strcmp(exportName, func_name) == 0)
			func_num = serviceNum;
		if (serviceNum < count_funcs)
			strcpy(out_buf + serviceNum*len_one_element, exportName);
	}
}

[sss]

Извиняй, но я не совсем понял твой жаргон ).

Я это все юзаю под XP, а под ней для вызова сервиса в ядре используется команда "sysenter", а не int 2E как в win2000...

Как и в случае W2K вызовы ядра из пространства пользователя проходят через "угольное ушко" прерывания int 2E... Если хочешь реально разобраться, применяй отладчики ядра. Они тебе помогут все номера узнать.

[Krutoy]

Не всегда функции Zw_XXX и Nt_XXX совпадают, т.е. функции Zw_XXX не всегда вызываются функциями Nt_XXX. Вот еще пример, пытался прехватить API CreateFile, путем замены через SDT и методом сплайсинга функций NtCreateFile и ZwCreateFile. В проводнике все нормально... а вот FAR использует IoCreateFile...

[sasha_s7]

Так я это и имел ввиду. На примере ZwWriteFile и  NtWriteFile:
В юзерспайсе это одно и тоже! Но в ядре разные вещи... ZwWriteFile вызывается драйверами, а NtWriteFile вызывается для программ юзерспайса! Я уже решил проблему перехвата. Юзаю дизассемблер и вставляю JMP в начало ф-ции. Факт в том что NtWriteFile через SDT не хукнеш

[Krutoy]

Я вообще когда можно перехватываю функции через SDT и вставкой JMP одновременно (на всякий случай). Но и тут есть один прикол... По идее в ядре Nt и Zw функции это одно и тоже. Т.е. юзер вызывает Nt функцию через ntdll.dll, затем она направляется в ядро и вызывает соответствующую Zw функцию. Только это не всегда так. Некоторые функции дальше ntdll почему-то не идут (непомню какие, но были)