内核层关机重启
来源:互联网 发布:青木原树海 知乎 编辑:程序博客网 时间:2024/05/22 08:21
现在HOOK越来越普遍,很多恶意程序通用hook用户进程的关机函数禁止关机,有些则是hook winlogon.exe的关机函数,因为进程的调用关机函数会最终给winlogon.exe发送关机消息。所以在用户层实现关机已经越来越不安全了。内核驱动禁止关机也不是很安全,通过windbg可以发现xuetr.exe禁止关机的原理是对NtShutdownSystem调用的SeSinglePrivilegeCheck(权限检查)函数进行call hook。不管了,毕竟玩驱的也不是等闲之辈。我们可以经常遇到在DriverEntry调用NtShutdownSystem可以正常关机重启,但是通过ioctl关机重启失效了,NtShutdownSystem的返回值是STATUS_PRIVILEGE_NOT_HELD,也就是权限不足,看来需要提权。提权函数如下:
void AdjustPriv(ULONG ulSe)
{
NTSTATUS nts = 0;
TOKEN_PRIVILEGES TokenPrivileges;
HANDLE tokenHandle;
nts = ZwOpenProcessToken(NtCurrentProcess(),TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY,&tokenHandle);
if (NT_SUCCESS(nts))
{
TokenPrivileges.PrivilegeCount = 1;
TokenPrivileges.Privileges[0].Luid = RtlConvertUlongToLuid(ulSe);
TokenPrivileges.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
nts = ZwAdjustPrivilegesToken(tokenHandle, FALSE, &TokenPrivileges, sizeof(TokenPrivileges), NULL, NULL);
ZwClose(tokenHandle);
}
}
接下来是用户层通过DeviceIoControl发送ioctl,通知驱动程序关机:
NTSTATUS OnDeviceIoControl( PDEVICE_OBJECT pDeviceObject, PIRP Irp )
{
NTSTATUS status;
PIO_STACK_LOCATION IrpStack;
PVOID InputBuffer;
PVOID OutputBuffer;
ULONG InputBufferLength;
ULONG OutputBufferLength;
ULONG IoControlCode;
char* lpBuf = NULL;
ULONG ulPid = 0;
status = Irp->IoStatus.Status = STATUS_SUCCESS;
Irp->IoStatus.Information = 0;
IrpStack = IoGetCurrentIrpStackLocation( Irp );
InputBuffer = IrpStack->Parameters.DeviceIoControl.Type3InputBuffer;
InputBufferLength = IrpStack->Parameters.DeviceIoControl.InputBufferLength;
OutputBuffer = Irp->UserBuffer;
OutputBufferLength = IrpStack->Parameters.DeviceIoControl.OutputBufferLength;
IoControlCode = IrpStack->Parameters.DeviceIoControl.IoControlCode;
switch( IoControlCode )
{
case IOCTL_SHUTDOWN_POWEROFF:
{
AdjustPriv(SE_SHUTDOWN_PRIVILEGE);
NtShutdownSystem(ShutdownPowerOff); //关闭电源
}
break;
case IOCTL_SHUTDOWN_NOREBOOT:
{
AdjustPriv(SE_SHUTDOWN_PRIVILEGE);
NtShutdownSystem(ShutdownNoReboot); //关机
}
break;
case IOCTL_SHUTDOWN_REBOOT:
{
AdjustPriv(SE_SHUTDOWN_PRIVILEGE);
NtShutdownSystem(ShutdownReboot); //重启
}
break;
default:
status = STATUS_INVALID_DEVICE_REQUEST;
break;
}
IoCompleteRequest( Irp, IO_NO_INCREMENT );
return status;
}
当然这种关机还需要NtShutdownSystem没被inline hook,ssdt hook或者是call hook为前提的。
- 内核层关机重启
- Linux内核关机重启源码分析
- 内核里强制关机和重启
- 安卓运用层,实现重启和关机功能
- vb关机,重启
- 关机 重启 注销
- 关机和重启
- 注销 关机 重启
- 重启,关机代码
- 重启及关机
- 关机 重启 BAT
- Liunx关机,重启
- 定时关机重启
- 关机重启命令
- Ubuntu关机重启
- Linux 关机重启
- 关机/重启命令
- 关机 重启
- Red Hat 6.3 yum源设置
- c#如何在线程给中控件赋值
- 设计师为何做不出产品经理想要的设计
- C++中虚函数工作原理和(虚)继承类的内存占用大小计算
- Linux(Centos )的网络内核参数优化来提高服务器并发处理能力
- 内核层关机重启
- 0013算法笔记——【动态规划】最大子段和问题,最大子矩阵和问题,最大m子段和问题
- oracle exp不生成dumpfile,预估出实际导出文件的大小。
- java调用存储过程同时获取[返回参数]和[结果集]
- Android App 开发 设计模式第八篇:抽象工厂模式
- opencms8.5.0-新建自定义结构化类型(Structured contents)
- Java Review 12 Exception
- CentOS 安装中文输入法
- 如何成为强大的程序员?