关于VAD的两种内存隐藏方式

Windows内核分析索引目录：https://www.cnblogs.com/onetrainee/p/11675224.html

技术学习来源：火哥(QQ:471194425)

内存在0环的两种内存隐藏方式(基于VAD树)

一、通过 _MMVAD.StartingVpn与_MMVAD.EndingVpn等值来隐藏内存。

　　这种方法找到需要隐藏的VAD结点，使 _MMVAD.StartingVpn=_MMVAD.EndingVpn，这样就能达到隐藏的效果

　　在》》VAD树的属性及其遍历《《中，在遍历每个结点下，直接 pVad.StartingVpn = pVad.EndingVpn即可。

　　1）隐藏前的效果

　　2）隐藏后的效果

二、通过将两个VAD结点融合达到隐藏效果

　　我们需要找到宿主结点p1 与被隐藏结点p2，将p2融合进p1中，此时就会显示p1的段属性从而忽视p2的段属性。

　　比如扫描内存时，恶意代码必然可执行 EXECUTE，但是我们隐藏在READ之类段中，往往可以规避掉扫描。

　　实现方法 p1.EndingVpn = p2.EndingPvn

1) 实验代码 test.exe

 // test.cpp : Defines the entry point for the console application.

 //

 #include "stdafx.h"

 #include <iostream>

 #include <Windows.h>

 #include <stdlib.h>

 int main()

 {

     LPVOID p1 = VirtualAlloc(NULL, 0x10000, MEM_COMMIT, PAGE_READWRITE);

     LPVOID p2 = VirtualAlloc(NULL, 0x10000, MEM_COMMIT, PAGE_EXECUTE_READWRITE);

     printf("p1 = %x / p2 = %x", p1, p2);

     system("pause");

 }

2) 驱动代码

 #include <ntddk.h>

 //---------------------//

 // MMVAD结构体简单定义 //

 //---------------------//

 typedef struct _MMVAD {

     ULONG StartingVpn;

     ULONG EndingVpn;

     struct _MMVAD * Parent;

     struct _MMVAD * LeftChild;

     struct _MMVAD * RightChild;

 }MMVAD,*PMMVAD;

 VOID Unload(IN PDRIVER_OBJECT pDriverObject) {

     DbgPrint("Driver UnLoad!");

 }

 //-----------//

 // 遍历VAD树 //

 //-----------//

 PMMVAD  vad_enum(PMMVAD pVad,ULONG target_StartingVpn) {

     //---------------------------//

     // 遍历目标VAD，并返回其指针 //

     //---------------------------//

     if (pVad) {

         if (target_StartingVpn == pVad->StartingVpn) {

             _asm int

             return pVad;

         }

         else {

             if (pVad->LeftChild) {

                 PMMVAD p1 = vad_enum(pVad->LeftChild, target_StartingVpn);

                 // 如果结点不为空，则直接返回就好。

                 // 否则继续判断其右子树结点。

                 if (p1)

                     return p1;

             }

             if (pVad->RightChild) {

                 PMMVAD p2 = vad_enum(pVad->RightChild, target_StartingVpn);

                 if (p2)

                     return p2;

             }

             return NULL;

         }

     }

     return NULL;

 }

 //-------------------------------------------------------------//

 //  在内核中进程遍历的原理就是先获取系统进程EPROCESS结构       //

 //        然后依照其链表来获取其他的进程                         //

 //        依次遍历出来                                           //

 //-------------------------------------------------------------//

 NTSTATUS process_enum() {

     PEPROCESS pEprocess = NULL; // 得到系统进程地址

     PEPROCESS pFirstEprocess = NULL;

     ULONG ulProcessName = ; // 字符串指针，指向进程名称

     ULONG ulProcessID = ;    // 进程ID

     ANSI_STRING target_str; // 带检测进程的名称

     ANSI_STRING ansi_string; //

     ULONG VadRoot;

     //----------------------------//

     // 得到当前系统进程的EPROCESS //

     //----------------------------//

     pEprocess = PsGetCurrentProcess();

     if (pEprocess == NULL) {

         DbgPrint("获取当前系统进程EPROCESS错误..");

         return STATUS_SUCCESS;

     }

     DbgPrint("pEprocess addr is %x0x8\r\n", pEprocess);

     pFirstEprocess = pEprocess;

     while (pEprocess) {

         ulProcessName = (ULONG)pEprocess + 0x174;

         ulProcessID = *(ULONG*)((ULONG)pEprocess + 0x84);

         VadRoot = *(ULONG*)((ULONG)pEprocess + 0x11c);

         //--------------------------------------//

         // 将目标进程与当前进程的进程名进行对比 //

         //--------------------------------------//

         RtlInitAnsiString(&ansi_string, (PCSTR)ulProcessName);

         RtlInitAnsiString(&target_str, "test.exe");

         if (RtlEqualString(&ansi_string, &target_str, TRUE)) {

             DbgPrint("检测到进程字符串，%x", ulProcessID);

             PMMVAD p1 = vad_enum((PMMVAD)VadRoot,0x3a0); // 遍历第一个结点

             PMMVAD p2 = vad_enum((PMMVAD)VadRoot, 0x3b0); // 遍历找到第二个结点

             _asm int

             if(p1 && p2)

                 p1->EndingVpn = p2->EndingVpn; // 将第二个结点完全隐藏起来

             return STATUS_SUCCESS;

         }

         pEprocess = (PEPROCESS)(*(ULONG*)((ULONG)pEprocess + 0x88) - 0x88);

         if (pEprocess == pFirstEprocess || *(ULONG*)((ULONG)pEprocess + 0x84) <= ) {

             DbgPrint("遍历结束!未检测到进程ID!\r\n");

             break;

         }

     }

     return STATUS_SUCCESS;

 }

 NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject, IN PUNICODE_STRING registeryPat) {

     DbgPrint("Driver Loaded!");

     pDriverObject->DriverUnload = Unload;

     process_enum();

     return STATUS_SUCCESS;

 }

3）隐藏效果

巴特西

关于VAD的两种内存隐藏方式

最新文章

热门文章