思想：

再次在 GDT 中偷内存搭建系统调用需要的逻辑框架与功能实现；

基本分解妄想：

构建系统调用的代码：

拷贝到偷取的内存中：

idt 向量序号21位置： 8003ee00`0008f120

各函数的实现：

注意: systemcallentry() 中

esp + 0xc 是 3环的 esp

3环的 esp 应该是调用函数的时候的发怒hi地址；所以实际的参数是 + 4 偏移的位置。

测试效果代码：

在中断表 21 项构建自己的门；

实战：

1偷取内存

1.1 侦察可偷取内存

发现和前面差不多；从GDT ：0x120 的位置就后面就没有使用了；可以偷取内存。

1.2 规划可偷取内存

给 SysFastCallEntry、ReadMem、AllocMem分别给予 128byte、64byte、64byte的空间；应该够了。

2 代码

2.1 填充代码到偷取内存

#include"pch.h"
#include <stdio.h>
#include<stdlib.h>
#include<Windows.h>

// release 版本会比较好一点，debug会填充一些空间，release会比较稳定

DWORD g_iData = 0;//定义一个全局变量，来存储 0 环数据

DWORD g_Addr[] = {0x8003f120,0x8003f1b0,0x8003f1f0};// 3块 偷取的内存的首地址；分别用来存放 sysfastcallentry、readmem、allocmem的代码

DWORD *g_ServiceTable =(DWORD*) 0x8003f3c0;//在搞2GB 中 放置我们的山寨 SSDT;根据下标 作为 其服务序号 0 -- ReadMem 、 1 -- AllocMem。


char *p = NULL;
int i = 0;
void SystemCallEntry();
DWORD  ReadMem();
DWORD  AllocMem();
// 已经注册在中断处理中的20项的 函数地址 0环 用作填充函数
void _declspec(naked) FillData()
{// 这里是裸函数，所以不会有函数头 push ebp,mov ebp,esp,,和 ret x / sub esp,x 来平衡堆栈；
//  这样的好处是 我们能控制全部的代码。

// 通过循环拷贝 code 到 偷取来的区域：
// 1 .拷贝 systemcallentry() 函数code
p = (char *)g_Addr[0];
for (i = 0; i < 128; i++)
{
    *p = ((char *)SystemCallEntry)[i];
    p++;
}

// 2 .拷贝 readmem() 函数code
p = (char *)g_Addr[1];
for (i = 0; i < 64; i++)
{
    *p = ((char *)ReadMem)[i];
    p++;
}

// 3. 拷贝AllocMem() 函数 code
p = (char *)g_Addr[2];
for (i = 0; i < 64; i++)
{
    *p = ((char *)AllocMem)[i];
    p++;
}
// 初始化 ssdt 表
g_ServiceTable[0] = 0x8003f1b0;
g_ServiceTable[1] = 0x8003f1f0;

// 注册 int 21; 中断向量
__asm
{
    // 0x8003f120 --systemcallentry()
    // eq eq 8003f508 8003ee00`0008f120

    mov eax, 0x0008f120;
    mov ds : [0x8003f508], eax;
    mov eax, 0x8003ee00;
    mov ds : [0x8003f50c], eax;

    iretd;//iret  是实地址模式 16位的中断返回
}


}
// SystemCallEntry 函数 实现 注册到 int 21 中去；
void _declspec(naked) SystemCallEntry()
{
__asm
{
    
    push 0x30
    pop fs
    sti;//开启中断

    mov ebx,ss:[esp+0xc] // 获取 3环的 esp
    mov ecx,ds:[ebx +4] // 跳过 返回地址 获取参数
    mov ebx,0x8003f3c0  // 山寨 ssdt 地址
    mov eax,ds:[ebx+eax*4]// 获取ssdt[eax] 地址
    call eax

    cli;//关闭中断 怕 pop fs; 和 iretd 之间进行线程切换会崩溃。
    push 0x3b
    pop fs
    iretd;

}

}

// ReadMem 函数 实现
DWORD _declspec(naked) ReadMem()
{
__asm
{
    mov eax,ds:[ecx] // 直接读取就可以了
    ret
}

}
DWORD g_pAddr;
// AllocMem 函数 实现
DWORD _declspec(naked) AllocMem()
{
__asm
{
    push ecx
    push 0
    mov eax,0x8053454C // ExAllocatePool(dd type,dd size);
    call eax
    ret
}
}

void go()
{
__asm {
    int 0x20;// 产生中断请求，调用对应中断处理--这里将 int 21 注册systemcallentry(),
             // 并且 将对应的代码拷贝到gdt空闲的区域
}
}

void main()
{

if ((DWORD)FillData != 0x401040)// code : there is not same as the past, there some crt func takes the place401000 ~401040
{
    printf("WRONG ADDR");
        sleep(1000);
    exit(0);
}
go();// 产生中断请求，调用对应中断处理;进入0环
printf("Addr:%p: \n", FillData);
//printf("Data【0x0x8003f500】: %x \n", g_iData);
system("pause");
}

测试山寨的ssdt 表

代码：

// 4_ DIY_sysfastcallentryTest.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。
//

#include "pch.h"
#include<stdio.h>
#include<stdlib.h>
#include<Windows.h>
DWORD _declspec(naked)  readMem(DWORD Addr)
{
__asm
{
    mov eax, 0
    int 0x21;
    ret;
}
}
DWORD _declspec(naked)  AllocMem(DWORD Size)
{
__asm
{
    mov eax, 1
    int 0x21;
    ret;
}
}

int main()
{
DWORD A = readMem(0x8003f3c0);
printf("%p", A);
DWORD B = AllocMem(0x60);
printf("%p", B);
system("pause");
}

效果图：

前面的是读出的数据;

后面的是申请的内存地址;

巴特西

9_山寨系统调用 SystemCallEntry

思想：

基本分解妄想：

构建系统调用的代码：

拷贝到偷取的内存中：

各函数的实现：

测试效果代码：

实战：

1偷取内存

1.1 侦察可偷取内存

1.2 规划可偷取内存

2 代码

2.1 填充代码到偷取内存

测试山寨的ssdt 表

代码：

效果图：

最新文章

热门文章

巴特西

9_山寨系统调用 SystemCallEntry

思想：

基本分解妄想：

构建系统调用的代码：

拷贝到 偷取的内存中：

各函数的实现：

测试 效果 代码：

实战：

1偷取内存

1.1 侦察可偷取内存

1.2 规划可偷取内存

2 代码

2.1 填充代码 到 偷取内存

测试 山寨 的ssdt 表

代码：

效果图：

最新文章

热门文章

拷贝到偷取的内存中：

测试效果代码：

2.1 填充代码到偷取内存

测试山寨的ssdt 表