关于R3下的自身进程守护
一大早的来到图书馆还把我的本本抗来了，就为了写一篇博客。
这个博客其实说来挺愧疚的，原理搞错了，却也实现了预期之外的功能，如题R3下的自身进程守护。
昨天下午和“列宁”交流了一下午，才发现原来我本来的构想就是错误的，我本想挂钩Terminateprocess的函数达到禁止制定进程被结束的，但是意外的把挂钩的原理搞错了，程序倒是写了一堆，就是不能实现功能。把我给急的，后来昨天下午偶遇高人“列宁”，探讨了一下午，我终于搞清楚我的错误在哪里，（其实是被探讨）我原先的构想是修改引入表中Terminateprocess的地址挂钩这个API函数的，我以为引入表是所有程序所公用，但是错了，每个程序有每个程序的引入表，甚至每个动态链接库调用其他函数的时候都有他自己的引入表，所以在本程序修改的引入表只能防止自身的进程使用Terminateprocess的函数结束自身，当然了这个也可以作为自身的进程守护（比如病毒），虽然实在R3的层面下很容易被反HOOK。
于是我又想了一下，如何做到挂钩其他进程API函数的使用？仔细想了想我就想到两种，毕竟是菜鸟嘛，也还没来得及去查阅相关资料。第一，我们可以直接修改动态链接库的Terminateprocess函数的入口地址，自己动手修改之后直接将原动态链接库覆盖。第二，我们可以向目标进程注入，这个我准备试一试，我自己的想法是用SetWindowsHookEx函数直接向目标进程注入我们的修改该进程引入表的代码。呵呵未经验证，菜鸟的个人想法，大牛请不要笑话，发现错误也欢迎直接提出。
下面附上我的代码片段:
#include "windows.h" #include "stdio.h" #include<tlhelp32.h> typedef BOOL (WINAPI * PFNTERMINATEPROCESS)(HANDLE,UINT); PROC RealTerminateProcess=(PROC)TerminateProcess; BOOL WINAPI MyTerminateProcess(HANDLE hProcess,UINT uExitCode) { MessageBox(NULL,"操作违规！","warning",WM_SHOWWINDOW); return 0; } BOOL SetHook(HMODULE hMod) { DWORD dwOldprotect; MEMORY_BASIC_INFORMATION mbi; IMAGE_DOS_HEADER * pDosHeader=(IMAGE_DOS_HEADER *)hMod; IMAGE_OPTIONAL_HEADER * pOptHeader=(IMAGE_OPTIONAL_HEADER *)((BYTE *)hMod+pDosHeader->e_lfanew+24); IMAGE_IMPORT_DESCRIPTOR * pImportDesc=(IMAGE_IMPORT_DESCRIPTOR *)((BYTE *)hMod+pOptHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress); while (pImportDesc->FirstThunk) { // printf("1success"); char * pszDllName=(char *)((BYTE *)hMod+pImportDesc->Name); if (strcmp(pszDllName,"KERNEL32.dll")==0) { break; } pImportDesc++; } if (pImportDesc->FirstThunk) { // printf("2success"); IMAGE_THUNK_DATA *pThunk=(IMAGE_THUNK_DATA *)((BYTE *)hMod+pImportDesc->FirstThunk); while (pThunk->u1.Function) { // printf("3success"); DWORD * lpAddr=(DWORD *)&(pThunk->u1.Function); if (*lpAddr==(DWORD)RealTerminateProcess) { // printf("4success"); DWORD * lpNewProc=(DWORD *)MyTerminateProcess; VirtualQuery(lpAddr,&mbi,sizeof(mbi)); VirtualProtect(lpAddr,sizeof(DWORD),PAGE_READWRITE,&dwOldprotect); //除保护 WriteProcessMemory(GetCurrentProcess(),lpAddr,&lpNewProc,sizeof(DWORD),NULL); VirtualProtect(lpAddr,sizeof(DWORD),dwOldprotect,0); //写保护 return TRUE; } pThunk++; } } return FALSE; } int main() { if(SetHook(GetModuleHandle(NULL))) printf("HOOK成功！"); else printf("HOOK失败！"); return 0; }
除此之外，昨天下午和列宁的一番谈话中我也受教了，关于函数的调用约定，native API一般都是_stdcall，所以在定义函数类型的时候要注意了，最讨厌的地方就是这个错了编译不报错，运行时就会出现如图错误：
下面附上R3下使用NtQueryInformationProcess的用法：
typedef struct { DWORD ExitStatus; DWORD PebBaseAddress; DWORD AffinityMask; DWORD BasePriority; ULONG UniqueProcessId; ULONG InheritedFromUniqueProcessId; } PROCESS_BASIC_INFORMATION; PROCESS_BASIC_INFORMATION pbi; typedef unsigned long(_stdcall*pNtQueryInformationProcess)(HANDLE,DWORD,PVOID,ULONG,PULONG); pNtQueryInformationProcess NtQueryInformationProcess; HINSTANCE hdll=GetModuleHandle("Ntdll.dll"); NtQueryInformationProcess=(pNtQueryInformationProcess)GetProcAddress(hdll,"NtQueryInformationProcess"); NtQueryInformationProcess(hProcess,0,(PVOID)&pbi,sizeof(PROCESS_BASIC_INFORMATION),NULL);