ИюНь - Xakep Online

coding
Последствия неаккуратного написания драйверов Загрузчик Windows Vista
ядром (ntoskrnl.exe), вторая — графической подсистемой (win32k.sys), а
остальные две зарезервированы на будущее и пока не используются.
Когда какое-либо приложение пытается получить доступ к реестру, оно
вызывает API-функцию из Advapi32.dll. В случае когда приложение пытается
создать ключ реестра, оно обращается к функции RegCreateKey или
RegCreateKeyEx. В свою очередь код этих функций обращается к шлюзу
NtCreateKey, находящемуся в ntdll.dll. Почему я сказал «шлюз» вместо
«функции» Все очень просто. На самом деле, NtCreateKey не делает ничего,
кроме вызова соответствующего системного сервиса. Схематично
код этой функции выглядит примерно так:
Возможный код NtCreateKey
mov
lea
int
ret
eax,29h
xàêåð 06 /102/ 07
/
edx,[esp+4]
2Eh
Как видно из приведенного примера, сначала в регистр eax заносится
число 29h. Это число означает номер системного сервиса в таблице
дескрипторов системных сервисов. То есть, если говорить проще, 41‐й
элемент в этой таблице является указателем на точку входа в системный
сервис, который создает ключ в реестре. После того как в eax загружено
смещение, а в edx — указатель на передаваемые параметры, вызывается
специальное прерывание 2Eh для перевода процессора в нулевое кольцо.
По найденному в таблице системных сервисов смещению происходит
переход на код, который дальше выполняет все необходимые действия.
Драйвер утилиты RegMon занимался тем, что подменял нужные ему
смещения в этой таблице своими. Таким образом, когда какое-либо
приложение пыталось обратиться к реестру, вызывался код драйвера
RegMon'а, который, собрав нужную ему информацию, делал оригинальный
вызов, чтобы не приводить системы в нерабочее состояние. Но с
выходом Windows Vista эту возможность прикрыли, обосновав это тем, что
этой технологией пользуются руткиты, а для антивирусов, файрволов и
других подобных программ еще в Windows XP был предложен специальный
механизм для перехвата обращений к реестру.
Фильтрация обращений к реестру
С выходом Windows XP появилось понятие registry filtering driver. Дословно
оно переводится как «драйвер, фильтрующий обращения к реестру».
Собственно, из названия вытекает и содержание — это драйвер режима
ядра, который фильтрует обращения к системному реестру. Фильтрация
обращений происходит за счет установки callback-вызова на функции
обращения к реестру. Установить свой callback-вызов можно с помощью
следующей функции:
NTSTATUS
CmRegisterCallback(
IN PEX_CALLBACK_FUNCTION Function,
IN PVOID Context,
OUT PLARGE_INTEGER Cookie
);
Здесь Function — это указатель на функцию callback-вызова, который
надо зарегистрировать. Context — указатель на некую структуру данных,
которая содержит служебную информацию и определяется самим драйвером.
Cookie — указатель на переменную типа LARGE_INTEGER, которая
идентифицирует callback-рутину. В последствии этот параметр будет
использоваться при снятии callback-вызова. Вызов CmRegisterCallback
должен происходить при IRQL, меньшем или равном APC_LEVEL. В
Windows Vista появилась новая функция для этих целей. Ее прототип
представлен ниже.
NTSTATUS
CmRegisterCallbackEx(
IN PEX_CALLBACK_FUNCTION Function,
IN PCUNICODE_STRING Altitude,
IN PVOID Driver,
IN PVOID Context,
OUT PLARGE_INTEGER Cookie
PVOID Reserved
);
Как видно из описания функции, некоторые ее параметры схожи с
предыдущими, но есть и новые. Altitude — это указатель на строку
типа UNICODE_STRING, которая используется в драйверах минифильтрах.
Driver — указатель на структуру объекта драйвера, который
осуществляет вызов. Ну и, наконец, Reserved, название которого
говорит само за себя.
Когда перехватывать обращения к реестру нам больше не нужно, следует
вызвать функцию CmUnRegisterCallback.
115