Январь - Xakep Online

ïðîñòðàíñòâî ñâîåãî ïðîöåññà ïîñðåäñòâîì âûçîâà ôóíêöèè
NtMapViewOfSection, íàçíà÷àÿ âñå íåîáõîäèìûå íàì ïðàâà. Ðåïàìèíã
îñóùåñòâëÿåòñÿ èñêëþ÷èòåëüíî íà óðîâíå ÿäðà, íî ê îòîáðàæåííîé
ñòðàíèöå ìîæíî îáðàùàòüñÿ äàæå èç ïðèêëàäíîãî óðîâíÿ. Êðàñîòà! Ïî
ýòîé ñõåìå ðàáîòàþò ìíîãèå áðàíäìàóýðû è äðóãèå ïðîãðàììû, íóæäàþùèåñÿ
â ïåðåõâàòå ÿäåðíûõ ôóíêöèé, íàïðèìåð, rootkit'û. Ïîäðîáíîñòè
çäåñü: http://www.stanford.edu/~stinson/misc/curr_res/nt_hooking.txt.
Ïóòü òðåòèé — ñáðîñ ôëàãà WP â ðåãèñòðå cr0. Ýòî äîñòàòî÷íî ãðÿçíûé
òðþê ñ öåëîé ñâèòîé ïðîòèâîïîêàçàíèé è ðåêëàìàöèé, îäíàêî äëÿ íàøèõ
öåëåé îí âïîëíå ïîäõîäèò. Èñïîëüçóåì åãî êàê ñàìûé ïðîñòîé
è áûñòðûé âàðèàíò, óìåùàþùèéñÿ âñåãî â 3-õ (!) ìàøèííûõ êîìàíäàõ:
êîä, îòêëþ÷àþùèé çàùèòó ÿäðà îò çàïèñè
mov eax, cr0 ; ãðóçèì óïðàâëÿþùèé ðåãèñòð cr0 â ðåãèñòð eax
and eax, 0FFFEFFFFh ; ñáðàñûâàåì áèò WP, çàïðåùàþùèé çàïèñü
mov cr0, eax ; îáíîâëÿåì óïðàâëÿþùèé ðåãèñòð cr0
Ñîîòâåòñòâåííî, ÷òîáû âêëþ÷èòü çàùèòó, ýòîò ñàìûé áèò WP íóæíî óñòàíîâèòü,
÷òî è äåëàþò ñëåäóþùèå ìàøèííûå êîìàíäû:
êîä, âêëþ÷àþùèé çàùèòó ÿäðà
mov eax, cr0 ; ãðóçèì óïðàâëÿþùèé ðåãèñòð cr0 â ðåãèñòð eax
or
eax, 10000h ; ñáðàñûâàåì áèò WP, çàïðåùàþùèé çàïèñü
mov cr0, eax ; îáíîâëÿåì óïðàâëÿþùèé ðåãèñòð cr0
Ïîëèòè÷åñêè êîððåêòíàÿ ïðîãðàììà äîëæíà íå ïðîñòî îòêëþ÷àòü/âêëþ-
÷àòü çàùèòó îò çàïèñè, à çàïîìèíàòü òåêóùåå ñîñòîÿíèå áèòà WP ïåðåä
åãî èçìåíåíèåì, à çàòåì âîññòàíàâëèâàòü åãî îáðàòíî, èíà÷å ìîæíî
íåïðîèçâîëüíî âêëþ÷èòü çàùèòó â ñàìûé íåïîäõîäÿùèé ìîìåíò, ñåðüåçíî
íàâðåäèâ âèðóñó èëè rootkit'ó.
Çàêîðîòèòü ôóíêöèþ KeBugCheckEx ìîæíî ðàçíûìè ïóòÿìè. Ñàìîå
ïðàâèëüíîå (è íàäåæíîå!) — îïðåäåëèòü åå àäðåñ ïóòåì ðàçáîðà òàáëèöû
èìïîðòà, íî ýòî ñëèøêîì äîëãî, ìóòîðíî, íóäíî è óòîìèòåëüíî.
Ãîðàçäî ïðîùå ïîäñòàâèòü ãîòîâûå àäðåñà, æåñòêî ïðîïèñàâ èõ â ñâîåé
ïðîãðàììå. Ìèíóñ ýòîãî ðåøåíèÿ â òîì, ÷òî íà äðóãèõ êîìïüþòåðàõ
îíà ðàáîòàòü íå áóäåò. Ñòîèò óñòàíîâèòü (èëè óäàëèòü) êàêîé-òî
ServicePack, ïåðåéòè íà äðóãóþ âåðñèþ ñèñòåìû, êàê âñå àäðåñà òóò æå
èçìåíÿòñÿ, è ïðîèçîéäåò ñïëîøíîé çàâèñ. Òåì íå ìåíåå, èìåÿ èñõîä-
ÈÑÊËÞ×ÅÍÈÅ È ÍÀÊÀÇÀÍÈÅ
Âñåãäà ëè ïîìîãàåò øóíòèðîâàíèå KeBugCheckEx? Íàñêîëüêî ýòî áåçîïàñíî? Ýòî î÷åíü îïàñíî, òåì áîëåå
äàëåêî íå âñåãäà ïîìîãàåò. Âîò, íàïðèìåð, ðàññìîòðèì ñëåäóþùèé ïðèìåð êîäà, ïîçàèìñòâîâàííûé èç ÿäðà:
ôðàãìåíò êîäà, ïðè êîòîðîì øóíòèðîâàíèå KeBugCheckEx çàêàí÷èâàåòñÿ î÷åíü ïå÷àëüíî
00565201 call ExAllocatePoolWithTag ; âûäåëåíèå ïàìÿòè èç ëóæè
00565206 cmp eax, ebx ; ïðîâåðêà óñïåøíîñòè âûäåëåíèÿ ïàìÿòè
00565208 mov ds:dword_56BA84, eax
0056520D jnz short loc_56521C ; -> íàì äàëè ïàìÿòü! æèâåì, ìóæèêè!
0056520F push ebx ;
00565210 push ebx ;
00565211 push 6 ; ñ ïàìÿòüþ âûøåë îáëîì
00565213 push 5 ; îòïðàâëÿåìñÿ íà íåáåñà
00565215 push 67h ;
00565217 call KeBugCheckEx ;
0056521C loc_56521C: ; CODE XREF: sub_5651C1+4Cj
0056521C lea eax, [ebp+var_C] ; ïðîäîëæàåì íîðìàëüíîå âûïîëíåíèå
0056521F push ebx
00565220 push eax
Ñèñòåìà âûäåëÿåò ïàìÿòü èç îáùåãî ïóëà, è åñëè ñ ïàìÿòüþ íå îáëîì, òî ïðîèñõîäèò íîðìàëüíîå ïðîäîëæåíèå,
â ïðîòèâíîì ñëó÷àå âñïûõèâàåò ãîëóáîé ýêðàí. Äîïóñòèì, ìû çàêîðîòèëè KeBugCheckEx, ÷òî òîãäà?
Íàñ îáëîìàëè íà ïàìÿòü, à ìû ïðîäîëæàåì íîðìàëüíîå âûïîëíåíèå, êàê íè â ÷åì íå áûâàëî, îáðàùàÿñü
ïî óêàçàòåëþ, êîòîðûé óêàçûâàåò â íèêóäà. Âîçíèêàåò öåëûé êàñêàä âòîðè÷íûõ èñêëþ÷åíèé, à âñå
ñòðóêòóðû äàííûõ ïðåâðàùàþòñÿ â òðóõó, è ñèñòåìà ðóøèòñÿ îêîí÷àòåëüíî. Âîò òàê.
×ÅÃÎ ÍÅ ÓÌÅÅÒ NTFS
Äëÿ ìèíèìàëèçàöèè ïîñëåäñòâèé êðàõà ñèñòåìû, NT ïîääåðæèâàåò ñïåöèàëüíûå call-back'è. Âñÿêèé äðàéâåð ìîæåò
âûçûâàòü ôóíêöèþ KeRegisterBugCheckCallback è çàðåãèñòðèðîâàòü ñïåöèàëüíûé îáðàáîò÷èê, êîòîðûé áóäåò ïîëó-
÷àòü óïðàâëåíèå â ìîìåíò âîçíèêíîâåíèÿ ãîëóáîãî ýêðàíà. Ýòî ïîçâîëÿåò êîððåêòíî îñòàíàâëèâàòü îáîðóäîâàíèå,
íàïðèìåð, ïàðêîâàòü ãîëîâêè æåñòêîãî äèñêà. Øóòêà! À âîò äðàéâåðó ôàéëîâîé ñèñòåìû ñáðîñèòü ñâîè áóôåðà íè-
÷óòü íå ïîìåøàëî áû, òåì áîëåå ÷òî îí ìîæåò ïðîâåðèòü èõ öåëîñòíîñòü ïî CRC èëè ëþáûì äðóãèì ïóòåì. Õîäÿò
óñòîé÷èâûå ñëóõè, ÷òî NTFS èìåííî òàê è ïîñòóïàåò. Êàê áû íå òàê! Ìûùúõ äèçàññåìáëèðîâàë NTFS.SYS è íå íàøåë
òàì íèêàêèõ ïðèçíàêîâ âûçîâà KeRegisterBugCheckCallback! Â ìîìåíò àâàðèè áóôåðà NTFS îñòàþòñÿ íå ñáðîøåííûìè,
è îíà âûæèâàåò òîëüêî áëàãîäàðÿ ïîääåðæêå òðàíçàêöèé, ïðè êîòîðûõ ãàðàíòèðóåòñÿ àòîìàðíîñòü âñåõ
îïåðàöèé, òî åñòü îïåðàöèÿ ëèáî âûïîëíÿåòñÿ, ëèáî — íåò. Îáíîâëåíèå ôàéëîâîé çàïèñè íå ìîæåò ïðîèçîéòè íàïîëîâèíó,
è ïîòîìó, â îòëè÷èå îò FAT, ïîòåðÿííûå êëàñòåðû íà íåé íå îáðàçóþòñÿ. Íó, ïðàêòè÷åñêè íå îáðàçóþòñÿ.
XÀÊÅÐ 01 /85/ 06 117