Windows HIPS防护面

1. 防护范围

Windows HIPS (Host Intrusion Prevent System) 主机入侵防御系统核心部分可以归纳为3D，即AD（Application Defend，应用程序防御体系）、RD(Registry Defend，注册表防御体系）和FD(File Defend，文件防御体系)。另外还有ND（Network Defend，网络防火墙）及DD（Device Defend，设备/外设防护）,后两者也算是管控的范畴

2. AD

Windows的用户权限管理比较宽松，AD防护不仅复杂还面临较大的攻击面：

针对AD防护，仅利用系统内核层回调很难达成全面防护，只有当攻击已发生且已经成功的情况下才能发现攻击，此时恶意攻击已然达成。AD防护的短板极有必要采用R0或R3 HOOK的方式予以弥补和加固。

操作	方式	说明
创建	-	通用回调可以在进程启动时得到通知，但在“进程为什么会启动”的原因上缺少必要信息，R0/R3 HOOK可以作为必要的补充手段来实现全方面的进程监控
	普通进程	在进程加载阶段可侦测，可采用手段：FD及通用回调
	脚本程序	可侦测，如cmd batch、powershell、python及WScript或CScript等，可侦测到解释程序的启动及相关命令行参数
	计划任务	可侦测，可通过父进程判断是不是计划任务，但计划任务的创建无从感知。当然计划任务的创建亦可从文件系统层感知并发现，但此方式只是个间接方案
	服务创建及修改	加载时通过进程回调可侦测，服务创建及修改可通过RD侦测
	驱动创建及修改	同服务
	WMI串链	可侦测新进程启动，但不能定位由谁创建
	DCOM串链	可侦测，但不能定位原始启动进程
	DDE加载	可侦测
	MSI安装拦截	可侦测
	PICO/WSL进程	可发现、可拦截（Win10系统）
	...
结束	-	通用回调可以在得到进程退出通知，但时机上已经太晚了；只能通过R3或R0 HOOK实现更早和更好时机上的拦截
	窗口消息	通过SendMessage/PostMessage/PostThreadMessage方式直接发送退出消息
	动作模拟	通过模拟按键及鼠标输入，直接发送ALT+F4或者鼠标点击事件
	结束进程	TerminateProcess/NtTerminateProcess
	停止或结束线程	SuspendThread/TerminateThread/ NtSuspendTHread/NtTerminateThread
	调试模式	NtDebugActiveProcess DebugSetProcessKillOnExit ...
	job调度	通过AssignProcessToJobObject及TerminateJobObject强制关闭进程，或通过job作业限制进程的执行调度
	WMI利用
	WinStation
	执行劫持	通过远程线程、APC或SetThreadContext将流程导向ExitProcess
	资源耗尽	耗尽进程的Handle/VM资源等以造成程序运行错误
	镜像破坏	通过VirtualProtectEx改变关键页面属性至PAGE_NOACCESS等，或通过WriteProcessMemory进行破坏
	内核攻击	方式非常多，不在我们考虑之列
	...
注入	-	在R3 HOOK统一框架设计中有详细描述，在此只简单列举常用方式。通过模块加载系统回调可以感知注入事件的发生，但不能直接拦截
	APC注入	R0及R3均可攻击，除R0/R3 HOOK外没有好的方案
	远程线程注入	R0及R3均可攻击，可通过线程创建回调侦测到
	消息钩子	可通过模块加载侦测，但无法溯源至“消息钩子”
	线程Context劫持	R0及R3均可攻击，不可侦测，只能采用HOOK方案
	内存写入	R0及R3均可攻击，不可侦测，只能采用HOOK方案
	UserModeCallback	不可侦测，只能采用HOOK方案
	Section Un-mapping	不可侦测：UnMapViewOfSection/NtUnmapViewOfSectionEx
	SetWindowLong[Ptr]注入	不可侦测，只能采用HOOK方案
	打印、输入法注入	可通过模块回调侦测到，但无法溯源
	DLL劫持	DLL搜索路径篡改、DLL文件替换等
	...
其它	-	隐私窃取、信息泄漏
	消息拦截	不可侦测
	KeyLogger	一般均是通过DLL注入实现
	白利用、提权、沙箱逃逸	发现与拦截均有难度

3. RD

RD防护通过注册表操作回调基本可以达成我们针对注册表操作的监控、审计及拦截的需求。注册表回调操作自Windows XP系统之后均有支持，但XP系统的支持并不完善，有可能需要采用OB HOOK等方式以弥补回调功能的缺失。

Vista之后系统针对注册表操作增加了事务处理，WDK已有演示程序。

操作	前置回调	后置回调
键删除	RegNtPreDeleteKey	RegNtPostDeleteKey: SRV2003
值创建、改变	RegNtPreSetValueKey	RegNtPostSetValueKey: SRV2003
值删除	RegNtPreDeleteValueKey	RegNtPostDeleteValueKey: SRV2003
键属性修改	RegNtPreSetInformationKey	RegNtPostSetInformationKey: SRV2003
键改名	RegNtPreRenameKey	RegNtPostRenameKey: SRV2003
子键枚举	RegNtPreEnumerateKey	RegNtPostEnumerateKey: SRV2003
值枚举	RegNtPreEnumerateValueKey	RegNtPostEnumerateValueKey: SRV2003
获取键信息	RegNtPreQueryKey	RegNtPostQueryKey: SRV2003
值内容提取	RegNtPreQueryValueKey	RegNtPostQueryValueKey: SRV2003
	RegNtPreQueryMultipleValueKey	RegNtPostQueryMultipleValueKey: SRV2003
子键创建	RegNtPreCreateKey	RegNtPostCreateKey
子键创建	RegNtPreCreateKeyEx: SRV2003	RegNtPostCreateKeyEx: SRV2003
子键打开	RegNtPreOpenKey	RegNtPostOpenKey
子键打开	RegNtPreOpenKeyEx: SRV2003	RegNtPostOpenKeyEx: SRV2003
子键关闭	RegNtPreKeyHandleClose	RegNtPostKeyHandleClose: SRV2003
	RegNtPreFlushKey: VISTA	RegNtPostFlushKey: VISTA
	RegNtPreLoadKey: VISTA	RegNtPostLoadKey: VISTA
	RegNtPreUnLoadKey: VISTA	RegNtPostUnLoadKey: VISTA
安全描述符提取	RegNtPreQueryKeySecurity: VISTA	RegNtPostQueryKeySecurity: VISTA
安全描述符设置	RegNtPreSetKeySecurity: VISTA	RegNtPostSetKeySecurity: VISTA
	RegNtPreRestoreKey: VISTA SP2	RegNtPostRestoreKey: VISTA SP2
	RegNtPreSaveKey: VISTA SP2	RegNtPostSaveKey: VISTA SP2
	RegNtPreReplaceKey: VISTA SP2	RegNtPostReplaceKey: VISTA SP2
	RegNtPreQueryKeyName: WIN10	RegNtPostQueryKeyName: WIN10
	RegNtCallbackObjectContextCleanup: VISTA

4. FD

针对FD的防护将基于Windows FS Mini Filter架构实现，Windows FS Mini Filter可支持Win2k SP4、XP SP2及最新的Windows操作系统。XP及Win2k系统上的支持最新版本Windows的支持有些差别，在实现时要多加注意。另外Vista之后文件操作事务的支持增加了攻击面，使得针对文件的攻击手段更加隐蔽，因此文件事务操作的支持是必须的。

Mini Filter框架不仅可对本地及网络文件进行监控，亦支持邮槽及命名管道的操作监控，后期可根据实际需求进行灵活扩展。

操作	描述	备注
IRP_MJ_CREATE	文件打开、删除、覆写(清空)操作
IRP_MJ_CLEANUP	文件句柄关闭
IRP_MJ_CLOSE
IRP_MJ_CREATE_MAILSLOT	只针对邮槽驱动
IRP_MJ_CREATE_NAMED_PIPE	只针对管道驱动
IRP_MJ_DEVICE_CONTROL	与应用层通信、存储设备通信
IRP_MJ_DIRECTORY_CONTROL	目录项管理
IRP_MJ_FILE_SYSTEM_CONTROL
IRP_MJ_FLUSH_BUFFERS
IRP_MJ_INTERNAL_DEVICE_CONTROL
IRP_MJ_LOCK_CONTROL	byte range lock（flock）支持
IRP_MJ_PNP	设备热插拔处理
IRP_MJ_QUERY_EA	EA数据流处理
IRP_MJ_QUERY_INFORMATION	文件信息处理
IRP_MJ_QUERY_QUOTA	用户Quota支持
IRP_MJ_QUERY_SECURITY	安全属性及安全描述
IRP_MJ_QUERY_VOLUME_INFORMATION	卷属性操作
IRP_MJ_READ	读操作
IRP_MJ_SET_EA	EA创建或写入
IRP_MJ_SET_INFORMATION	设置文件信息、改名、删除文件等
IRP_MJ_SET_QUOTA	设置用户Quota
IRP_MJ_SET_SECURITY	设置安全描述符
IRP_MJ_SET_VOLUME_INFORMATION	设置卷属性、卷标信息
IRP_MJ_SHUTDOWN	关机事件
IRP_MJ_SYSTEM_CONTROL	WMI
IRP_MJ_WRITE	写操作
IRP_MJ_ACQUIRE_FOR_CC_FLUSH	锁操作回调
IRP_MJ_ACQUIRE_FOR_MOD_WRITE	锁操作回调: mmap
IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION	锁操作回调: Section首次创建
IRP_MJ_FAST_IO_CHECK_IF_POSSIBLE	Fast i/o调用检测
IRP_MJ_MDL_READ	MDL i/o，一般用于SRV
IRP_MJ_MDL_READ_COMPLETE
IRP_MJ_MDL_WRITE_COMPLETE
IRP_MJ_NETWORK_QUERY_OPEN
IRP_MJ_PREPARE_MDL_WRITE
IRP_MJ_RELEASE_FOR_CC_FLUSH	锁操作回调
IRP_MJ_RELEASE_FOR_MOD_WRITE	锁操作回调
IRP_MJ_RELEASE_FOR_SECTION_SYNCHRONIZATION	锁操作回调
IRP_MJ_VOLUME_DISMOUNT	卷卸载操作
IRP_MJ_VOLUME_MOUNT	新卷加载操作

5. ND

ND所实现的就是一个轻量的防火墙，可以将五元组信息与进程进行关联。Windows的网络框架随不同的版本有较大的变动，NDIS、TDI、WSK/Winsock Kernel、WFP/Windows Filter Platform

6. DD

DD即设备防护，主要应用于对外设的管控，可实现设备的停用或限制

7. 参考链接

1: Magnesium Object Manager Sandbox, A More Effective Sandbox Method for Windows 7

2: MSDN: Filtering Registry Calls

3: Filter Manager Support for Minifilter Drivers

4: MSDN: REG_NOTIFY_CLASS enumeration

5: CodeMachine: Kernel Callback Functions

6: OSR: Kernel Mode Extensions Driver

7: WDK Samples: Registry Logging

8: https://blog.csdn.net/whatday/article/details/52623878

9: https://docs.microsoft.com/en-us/windows-hardware/drivers/kernel/handling-notifications

Windows系统通用回调

Windows系统通用回调本文将针对Windows操作系统所提供系统回调操作做逐一分析，以了解每个回调所能达成什么样的功能及效果。比如部分回调只是用于通知，我们只能通过此回调来了解某一类型事件的发生，只能做审计，拦截动作需要通过其它途径实现；也有回调可以实现即时拦截，通过回调即可阻止恶意程序的攻击企图。 Windows系统在内核及应用层均有提供回调机制，下面分为两部分作介绍：

1 内核回调

内核回调机制		OS版本	功能描述	备注
PsSetCreateProcessNotifyRoutine		WIN2K	只是进程创建及退出通知
PsSetCreateProcessNotifyRoutineEx		VISTA SP1/SRV2008	可通过返回值阻止进程创建
PsSetCreateProcessNotifyRoutineEx2		WIN10 1703	可接收到WSL/PICO进程创建及退出通知；可阻止进程创建
PsSetCreateThreadNotifyRoutine (PsRemoveCreateThreadNotifyRoutine)		WIN2K	线程创建及退出通知	创建时的context为创建者，可用以判断是不是远程线程
PsSetCreateThreadNotifyRoutineEx (PsRemoveCreateThreadNotifyRoutine)		WIN10	线程创建及退出通知	创建时的context为新线程环境

PsSetLoadImageNotifyRoutine (PsRemoveLoadImageNotifyRoutine)		WIN2K	模块加载通知：支持驱动及应用层DLL加载通知	无模块卸载通知
PsSetLoadImageNotifyRoutineEx (PsRemoveLoadImageNotifyRoutine)		WIN10 1709	模块加载通知：支持驱动及应用层DLL加载通知	无模块卸载通知
IoRegisterBootDriverCallback (IoUnRegisterBootDriverCallback)		WIN8	Boot-Start驱动加载通知，可拦截，但拦截的后果即BSOD	加载顺序问题；ELAM驱动最早加载，需要特殊签名
SeRegisterImageVerificationCallback (SeUnregisterImageVerificationCallback)		WIN8.1 ?	驱动加载回调，可以验证驱动签名信息	函数未公开，目前Windows Defender会使用

ObRegisterCallbacks (ObUnRegisterCallbacks)		VISTA SP1 SRV2008	针对进程及线程对象句柄的创建提供前置及后置回调，可修改句柄权限，如针对进程对象无VM映射权限。子进程继承句柄不会通知	WIN7系统可监控文件句柄的创建，需要修改未公开的系统结构（ObjectType->SupportsObjectCallbacks），WIN8后PG会监控。WIN10系统增加了桌面对象的监控支持

CmRegisterCallback (CmUnRegisterCallback)		XP	注册表操作回调，可修改、转向或拦截原访问请求	XP/SRV2003/VISTA行为有差异
CmRegisterCallbackEx (CmUnRegisterCallback)	VISTA	注册表操作回调，可修改、转向或拦截原访问请求

ExRegisterCallback
-- \Callback\SetSystemTime		WIN2K	系统时钟修改回调
-- \Callback\PowerState		WIN2K	电源状态改变回调（AC/DC，电源策略，待机或关机）	早于Power Manager的IRP_SET_POWER请求
-- \Callback\ProcessorAdd		VISTA	动态增加新CPU事件通知

KeRegisterBoundCallback (KeDeregisterBoundCallback)		WIN10	用以捕获应用层边界检测异常，可用于应用层HOOK

Standard Event Objects for VM :		所有	主要用于监控内存状态
-- \KernelObjects\HighMemoryCondition
-- \KernelObjects\LowMemoryCondition
-- \KernelObjects\HighPagedPoolCondition
-- \KernelObjects\LowPagedPoolCondition
-- \KernelObjects\HighNonPagedPoolCondition
-- \KernelObjects\LowNonPagedPoolCondition
-- \KernelObjects\LowCommitCondition
-- \KernelObjects\HighCommitCondition
-- \KernelObjects\MaximumCommitCondition

KeRegisterBugCheckCallback (KeDeregisterBugCheckCallback)		WIN2K	系统出错准备蓝屏时的回调通知
KeRegisterBugCheckReasonCallback (KeDeregisterBugCheckReasonCallback)		XP SP1 SRV2003	蓝屏后DUMP生成通知，可写入额外1-PAGE信息

FsRtlRegisterFileSystemFilterCallbacks		XP	文件系统或过滤驱动回调，一般由I/o Manager，VM及CM发起
IoRegisterFsRegistrationChange (IoUnregisterFsRegistrationChange)		所有	文件系统注册事件通知回调	WIN2K: 已注册文件系统驱动不再通知；XP: 均会通知
IoRegisterFsRegistrationChangeEx (IoUnregisterFsRegistrationChange)		WIN2K SP4	文件系统注册事件通知回调，忽略RAW设备	同IoRegisterFsRegistrationChange
IoRegisterFsRegistrationChangeMountAware (IoUnregisterFsRegistrationChange)		WIN7	文件系统注册事件通知回调，忽略RAW设备	会额外处理与挂载/Mount的竞争问题
TmEnableCallbacks		VISTA	文件事务操作回调

IoRegisterContainerNotification (IoUnregisterContainerNotification)	WIN7	会话/Session改变通知，如新用户登录或登出，功能类似于用户层的WTSRegisterSessionNotification
KeRegisterProcessorChangeCallback (KeDeregisterProcessorChangeCallback)		WIN2K	动态CPU添加事件回调	有Pre和Post处理
KeRegisterNmiCallback (KeDeregisterNmiCallback)		SRV2003	发生不可屏蔽中断时的回调通知
IoRegisterShutdownNotification (IoUnregisterShutdownNotification)		WIN2K	IRP_MJ_SHUTDOWN请求回调
IoRegisterLastChanceShutdownNotification (IoUnregisterShutdownNotification)		WIN2K	IRP_MJ_SHUTDOWN请求回调	调用时机晚，在文件系统处理完毕之后
PoRegisterPowerSettingCallback (PoUnregisterPowerSettingCallback)		VISTA	电源管理事件响应回调
IoRegisterPlugPlayNotification (IoUnregisterPlugPlayNotification[Ex])		WIN2K	PNP事件回调（设备热插拔）
IoWMISetNotificationCallback		XP	WMI事件回调

DbgSetDebugPrintCallback	未公开	VISTA	捕获内核打印事件（DbgPrint）
IoRegisterPriorityCallback (IoUnregisterPriorityCallback)	未公开	WIN7 SP1 ?	I/O 请求优先级调整
PoRegisterCoalescingCallback (PoUnregisterCoalescingCallback)	未公开	WIN8.1	CM和文件系统相关：在系统空闲的时候实施cache的聚合刷新
PsSetLegoNotifyRoutine	未公开	XP	类似TLS，可以实现线程终结时的回调通知

2 应用层回调

应用层回调		OS	功能	备注
LdrRegisterDllNotification (LdrUnregisterDllNotification)		VISTA	可接收进程内DLL模块加载及卸载事件，不可拦截
ProcessInstrumentationCallback		WIN7	可在程序每次Ring 0至3切换后收到通知，在系统服务调用结束时刻	需要进程注入后主动调用NtSetInformationProcess，需要SeDebugPrivilege等
RegisterServiceCtrlHandler(Ex)		XP	在应用层服务中接收系统事件：设备热插拔、用户登录、电源管理等
RegisterDeviceNotification		所有	GUI程序获取硬件改变通知
RegNotifyChangeKeyValue		WIN2K	监控注册表指定键的子键及值的改变
ReadDirectoryChange		所有	监控指定目录中的文件及子目录的变化
AddSecureMemoryCacheCallback (RemoveSecureMemoryCacheCallback)		VISTA SP1	可监控Secure类型的共享内存的释放
LdrSetDllManifestProber	未公开	XP	可收到DLL模块加载事件，可用于拦截
LdrInitShimEngineDynamic	未公开	WIN7	可接收Shim Engine通知，可接管DLL加载等	调用时机有要求，需要R3 HOOK; 不同Windows版本如WIN7及8.1差别较大
RtlSetThreadPoolStartFunc	未公开	WIN2K	设置线程初始化及退出函数，kernel32内部使用

3 通用回调的限制

Windows系统虽然提供了回调接口，但因为性能等各种因素的原因还会限定回调的数量：

CmRegisterCallback限制为最多100个，无高度号设置，后注册的回调可能收不到请求
PsSetLoadImageNotifyRoutine限制为最多8个，64位系统共64个
PsSetCreateProcessNotifyRoutine限制为最多8个
PsSetCreateThreadNotifyRoutine限制为最多8个不少驱动安装为了防止注册失败的情况选择了尽早启动并完成相关回调的注册，也有一些工具如PcHunter会通过DKOM方式进行动态扩展。另外不同的OS版本的支持限制，在上表中也有说明，如Vista之后的Windows系统才开始支持注册表事务操作，这部分在使用中也要注意，Ob Callback也有类似的问题。

4 参考链接

Windows进程注入

0 前言

安全软件为了达成进程安全及行为审计的目标经常会采用进程注入的方式，即将自己的DLL注入至用户进程中，以对恶意的注入模块进行对抗。就进程注入方法来说有多种方式，木马及攻击方可使用的手段更多，毕竟攻击者对稳定性及善后部分不用做过多考虑。本文将对注入方式做一个简单的汇总对比，下面分别从应用层及内核层的不同实现方案进行拆解：

1 应用层注入手段

本章节将主要介绍完全应用层的注入实现。

1.1 远程线程及APC注入、SetThreadContext

这两种方式的实现机制是不同的，但思路是一样的，都需要上传负载（Payload）至要注入的进程空间，一般的操作过程如下：

通过OpenProcess获取进程句柄(HANDLE)，然后在目标进程空间申请内存（VirtualAlloc或VirtualAllocEx]），然后调用WriteProcessMemory将shellcode负载写入目标进程空间，最后调用CreateRemoteThread、NtCreateThreadEx、RtlCreateUserThread等创建用户线程，或者添加APC（QueueUserApc）至用户线程以完成shellcode的执行目的。

SetThreadContxt机制是将原线程挂起（SuspendThread），通过修改线程Context中的eip/rip指针至上传的shellcode地址。

Shellcode的设计一般只是简单的LdrLoadDll的调用，复杂的有如DoublePulsar木马所采用的，直接将Payload DLL进行展开并手工加载。

用户层注入的问题是权限受限，另外很容易被检测到，现在的杀软普遍都会特殊关照上述的这些特征函数。

1.2 Win32消息钩子

通过Win32 API SetWindowsHookEx注册系统级消息钩子，以截获同一桌面上所有线程的消息通信，从而实现了DLL模块的注入。当然消息钩子的局限也很明显：

被注入进程必须接受用户输入，使用了消息队列，如带GUI界面程序；服务进程一般无需用户输入，所以此种注入方法对服务进程无效 64位系统中，64位进程只能设置针对64位程序的消息HOOK，32位进程只针对32位程序，不可交叉混用。和SetWindowsHookEx类似的2. SetWinEventHook 虽然同样可以取到所有进程的消息，但并不能导致DLL注入。
Windows Automation API：Windows Automation API提供给程序访问其它程序窗口及组件（UI elements）的能力，一般用于自动化测试。利用Windows Automation API实现注入的过程，和消息钩子的方式没有本质区别，也有着同样的限制。
1.3 系统提供机制（注册表选项）

1) App Init DLLs

所有加载User32.dll的程序均会自动加载此键值下的DLL，主要针对Win7及之前的Windows版本，从Win8之后此机制不被推荐使用，在UEFI Secure Boot模式下此项被默认关闭。

所在注册表位置：

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs

使用此方式的木马及病毒：Ginwui、Cherry Picker、T9000

2) App Cert DLLs

所有调用下面Win32 API的程序均会自动加载上述注册表中所列的DLL文件：

CreateProcess
CreateProcessAsUser
CreateProcessWithLoginW
CreateProcessWithTokenW
WinExec

所在注册表位置：

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager

使用此方式的木马及病毒：Honeybee、FIN8 PUNCHBUGGY

3) Image File Execution Options

这是Windows系统提供的一个调试辅助机制，用以在特定进程启动或退出时启动指定程序（如调试器等）。用户通过更改IFEO键值达成启动不同进程的目的，从而导致原进程加载请求失败。

所在注册表位置：

HKLM\SOFTWARE{\Wow6432Node}\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\

4) Shim Database (SDB)攻击

Windows系统通过Shim数据库（SDB文件，位于%windir%\AppPatch\sysmain.sdb）以提升应用程序的向后兼容（backward compatibility）。SDB数据库中包含针对上千个程序的上百种配置，只要有管理员权限就可操纵此数据库，就可以修改任意程序的各种属性，如以下多种属性：

InjectDll
LoadLibraryRedirectFlag
ForceAdminAccess
RelaunchElevated
WrpMitigation
DisableNX
ModifyShellLinkPath
VirtualRegistry
DisableAdvancedRPCClientHardening
CorrectFilePaths
DisableSeh
DisableWindowsDefender
ShellExecuteXP

涉及注册表项：

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Custom
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\InstalledSDB

使用此方式的木马及病毒：BlackEnergy, GooKit, Roaming Tiger,QianSet.exe,VzQqgi.dll木马

1.4 PE程序IAT表静态修改

早期的Win32病毒常采用的就是静态感染方式，会将自身的代码写入被被感染程序，然后修改PE入口函数至病毒的代码段；同样的方式，静态修改PE文件的导入表以增加新的DLL注入亦不是难事。

针对有签名的PE程序，类似的修改会导致签名校验失败。

1.5 DLL替换

创建一个假个但导出一模一样的DLL文件用以替换原系统的，替换办法一般有两种办法：

系统原DLL文件改名，并替换系统DLL
更改DLL搜索路径（SetDLLDirectory）

这种方式要处理的问题：

系统模块签名问题无法处理：PPL进程将无法运行
不同版本的系统DLL处理堆积

2 内核层注入手段

内核R0层注入要比应用层R3的手段少了很多，实现难度会大一些，但内核实现更加隐蔽，难以被屏蔽。通过创建用户层线程或插入APC以实现注入的方式被普遍使用，原理上同R3的远程线程及APC注入的思路基本一致，均需要向目标进程空间上载参数及shellcode代码，只是R0及R3各自使用的支持函数不同。

2.1 IAT表注入

在进程创建过程中，内核驱动通过PsSetCreateProcessNotifyRoutine或PsSetCreateProcessNotifyRoutineEx得到通知，此时用户进程的创建过程是被阻塞的，在处理通知的回调中，内核驱动可以修改进程的内存镜像中的导入表，将要注入的驱动加入其中。

以wermgr.exe进程（PID: 0x6bc）的创建为例，此进程由services.exe（PID: 0x2bc）创建： Windows注入-IAT表后续会收到模块加载的通知回调，加载模块的顺序依次为wermgr.exe自身、ntdll.dll、kernel32.dll、KernelBase.dll、msvcrt.dll等，回调时的调用栈为： Windows IAT注入导入表修改动作是在进程镜像本身的模块加载回调中执行的，即程序本身模块加载的时机。

IAT表注入的主要问题：

.NET程序的兼容性问题
托管代码与非托管DLL代码的混合
64位.NET程序没有导入表项
受保护进程的注入问题，必须要通过NTDLL HOOK来解决，因为创建Section对象时内核会验证DLL签名等，在IAT已注入的情况下签名又无法签证通过时会导致程序加载失败

2.2 Shellcode注入

创建用户线程及插入APC的注入手段均需要上载shellcode代码至目标进程，shellcode可以只是简单的LdrLoadDll调用用以加载HOOK引擎及工作模块，复杂一些的话可以在内核层将DLL手工加载至目标进程空间，正如木马DoublePulsar所实现的加载器【D23】"Generic Relective DLL Loader"或者内核层Turla Driver Loader（TDL）驱动加载器【D18】。

常用shellcode/payload构造（BlackBone的实现）：

// shellcode for X64
UCHAR code[] =
{
0x48, 0x83, 0xEC, 0x28,             // sub rsp, 0x28
0x48, 0x31, 0xC9,                   // xor rcx, rcx
0x48, 0x31, 0xD2,                   // xor rdx, rdx
0x49, 0xB8, 0, 0, 0, 0, 0, 0, 0, 0, // mov r8, ModuleFileName   offset+12
0x49, 0xB9, 0, 0, 0, 0, 0, 0, 0, 0, // mov r9, ModuleHandle     offset+28
0x48, 0xB8, 0, 0, 0, 0, 0, 0, 0, 0, // mov rax, LdrLoadDll      offset+32
0xFF, 0xD0,                         // call rax
0x48, 0xBA, 0, 0, 0, 0, 0, 0, 0, 0, // mov rdx, COMPLETE_OFFSET offset+44
0xC7, 0x02, 0x7E, 0x1E, 0x37, 0xC0, // mov [rdx], CALL_COMPLETE
0x48, 0x83, 0xC4, 0x28,             // add rsp, 0x28
0xC3                                // ret
};

// shellcode for X86
UCHAR code[] =
{
0x68, 0, 0, 0, 0,                   // push ModuleHandle        offset+01
0x68, 0, 0, 0, 0,                   // push ModuleFileName      offset+06
0x6A, 0,                            // push Flags
0x6A, 0,                            // push PathToFile
0xE8, 0, 0, 0, 0,                   // call LdrLoadDll          offset+15
0xBA, 0, 0, 0, 0,                   // mov edx, COMPLETE_OFFSET offset+20
0xC7, 0x02, 0x7E, 0x1E, 0x37, 0xC0, // mov [edx], CALL_COMPLETE
0xC2, 0x04, 0x00                    // ret 4
};

1) 创建用户线程

创建用户线程一般通过NtCreateThreadEx（Visata及以后OS）或NtCreateThread（XP），这两个函数在内核中均未导出且是未公开的，其地址获取可以通过SSDT或者ntoskrnl镜像解析完成。

NTKERNELAPI NTSTATUS NTAPI
NtCreateThread(
__out PHANDLE ThreadHandle,
__in ACCESS_MASK DesiredAccess,
__in_opt POBJECT_ATTRIBUTES ObjectAttributes,
__in HANDLE ProcessHandle,
__out PCLIENT_ID ClientId,
__in PCONTEXT ThreadContext,
__in PINITIAL_TEB InitialTeb,
__in BOOLEAN CreateSuspended
);

NTKERNELAPI NTSTATUS NTAPI
NtCreateThreadEx(
OUT PHANDLE hThread,
IN ACCESS_MASK DesiredAccess,
IN PVOID ObjectAttributes,
IN HANDLE ProcessHandle,
IN PVOID lpStartAddress,
IN PVOID lpParameter,
IN ULONG Flags,
IN SIZE_T StackZeroBits,
IN SIZE_T SizeOfStackCommit,
IN SIZE_T SizeOfStackReserve,
OUT PVOID lpBytesBuffer
);

2) APC注入

在内核中构造一个APC结构并添加至用户线程的APC队列，等条件满足时系统会执行APC中设定的callback，从而达成进程DLL注入的目的。

3) HOOK NTDLL方式

内核驱动可以通过内核的回调机制截获用户进程创建及PE加载器加载并初始化DLL链的每个环节，可以监控到指定模块加载时同步进行inline hook，并将关注点的执行流程导向至已上载的shellcode负载。

回调本身是串行在程序的加载流程中的，即回调不返回，进程的创建及DLL的加载过程是被阻塞的，省却了同步与不一致性的问题的处理。

之所以要选择ntdll.dll的原因是，ntdll.dll是所有的Win32程序必须加载的，并且其执行过程比程序本身的入口执行要早；另外选择ntdll.dll而不是Kernel32.dll等模块的原因是，Kernel32.dll等模块并不是必须的，比如Native程序如csrss,exe、autochk.exe等，还有一些程序将Kernel32.dll等模块设置为Delay-Loading-DLL，并不会在程序启动之初就立即加载并执行。

为了尽早地获取控制权，常用的HOOK点一般放在ntdll!LdrInitializeThunk、ntdll!NtOpenDirectoryObject或者ntdll!LdrLoadDLL等关键函数点。Haiheiwang木马【D16】就是通过修改ntdll!NtTestAlert的流程将自己的工作模块加入被感染进程的，当然ntdll!NtTestAlert也存在时机较晚的问题，并不能满足咱们的需求。

这种方式在安全软件中也广泛使用，特别是对针对Win8系统年引入的受保护进程的注入问题，由内核注入Shellcode并通过HOOK ntdll!NtCreateSection来加载非系统模块是最实用且有效方式，目前360安全卫士的注入亦是采用此方式。受保护PPL进程只对用户层的Section对象创建有签名验证，我们通过将内核层创建Section对象映射至用户空间的方式达成向受保护PPL进程注入的目的。

其它的替代方案会导致受保护进行安全性的妥协等，比如短暂取消受保护进行的保护状态以达成注入目的，此种方式有可能会触发KPP/PG检测失效，另外也很容易被第三方恶意利用，比如MalwareFox AntiMalware的一个被曝光的漏洞【D24: MalwareFox AntiMalware 2.74.0.150 LPE】。

Shellcode内存映射可以在HOOK引擎模块加载之后进行销毁，存在窗口时间非常短，被其它安全软件查到或被其它恶意程序所利用的可能比较小。

3 参考资料

--- END ---

1. 防护范围

2. AD

3. RD

4. FD

5. ND

6. DD

7. 参考链接

1 内核回调

2 应用层回调

3 通用回调的限制

4 参考链接

0 前言

1 应用层注入手段

1.1 远程线程及APC注入、SetThreadContext

1.2 Win32消息钩子

1.3 系统提供机制（注册表选项）

1) App Init DLLs

2) App Cert DLLs

3) Image File Execution Options

4) Shim Database (SDB)攻击

1.4 PE程序IAT表静态修改

1.5 DLL替换

2 内核层注入手段

2.1 IAT表注入

2.2 Shellcode注入

1) 创建用户线程

2) APC注入

3) HOOK NTDLL方式

3 参考资料

3.1 浏览器自身防护资讯

3.2 进程DLL注入资料

3.3 DLL注入商业方案

3.4 开源HOOK引擎

3.5 Instrumentation Callback

3.6 PPL (Protected Process Light)

3.7 WSL (Windows Subsystem for Linux)