Langouster 's Blog(虾窝)

Ring0上调用未导出Zw函数通用函数

langouster@163.com (langouster) — Sun, 18 Jul 2010 21:46:13 +0800

前段时间写的一段无聊代码，可能对大家有点用。用于在驱动里调用一些没有直接导出的Zw函数，如ZwProtectVirtualMemory。在此感谢alpha提供思路。

BOOLEAN CallZwFunction(CONST CHAR *FunctionName,PVOID pCallRet,ULONG ArgNum,...)
{
char *vl;
BOOLEAN retval = FALSE;
ULONG FunctionIndex;
ULONG CallRet;
ULONG Argv[20],temp;
LONG i;
ULONG FunctionAddr;
BYTE Sign[]="\xb8\x44\x00\x00\x00";
BYTE *p;

...

VC向网页注入脚本

langouster@163.com (langouster) — Thu, 06 May 2010 21:13:31 +0800

IHTMLDocument2 *pDoc2

......

IHTMLWindow2 *pWindow;
HRESULT hr=pDoc2->get_parentWindow(&pWindow);
VARIANT ret;
ret.vt=VT_EMPTY;
CComBSTR func="alert(document.cookie)";
CComBSTR lang="JAVAScript";
hr=pWindow->execScript(func,lang,&ret);

...

进程创建过程关键函数执行顺序

langouster@163.com (langouster) — Wed, 05 May 2010 16:45:36 +0800

监控下一个进程的创建过程，关键函数的执行先后关系如下：

XP sp3下:

1.NtCreateProcessEx

2.NtCreateThread

3.CreateProcessNotify，调用创建进程回调函数，在PspCreateThread中调用

4.CreateThreadNotify，调用创建线程回调函数，在PspCreateThread中调用

Vista、Win7下:

1.NtCreateUserProcess->PspInsertThread

...

千岛湖归来

langouster@163.com (langouster) — Mon, 03 May 2010 21:51:40 +0800

千岛湖二日游回来，多图。

双向链表的添加、查找、删除算法

langouster@163.com (langouster) — Sat, 27 Mar 2010 15:35:10 +0800

前段时间看一个很早前写的驱动，发现对双向链表的操作还有BUG，删除时会蓝屏，修正了一下，把修正后的代码贴出来，方便日后使用前直接复制，大牛不用看了。

typedef struct _FILELIST

{

LIST_ENTRY ListEntry;

...

利用0day在win7下从user权限提升到system权限演示

langouster@163.com (langouster) — Sat, 20 Mar 2010 23:27:23 +0800

此演示完成user权限下以system权限运行指定程序,利用的是前几篇文章说的那个系统驱动的溢出漏洞。

利用成功后可看到Services.exe以system权限运行了C:\Users\test\Desktop\1.exe。

编写不影响继续执行的栈溢出shellcode，拒绝不返回，拒绝崩溃

langouster@163.com (langouster) — Sat, 20 Mar 2010 23:04:36 +0800

上次说的溢出0day的shellcode终于写完了，开始遇到了不少困难，但都一一解决了。

一开始，像大多数其它溢出那样，执行完shellcode后就sleep等死，可是这里不行，在进入有漏洞的函数前，系统占了一个锁，如果等死了，整个系统也立马卡死。函数调用是像下面这样的：

call func2()
{
getlocker();
bugfunc();//存在溢出的函数
...

驱动枚举所有快捷键

langouster@163.com (langouster) — Fri, 19 Mar 2010 20:48:48 +0800

在win32k中存在一个单向链表，这个链表中保存着当前子系统下的所有快捷键，保存这个单向链表的头的全局变量为_gphkFirst，这个全局变量在_RegisterHotKey、IsHotKey等函数中有使用。

下面是我在xp下逆向分析出的这个链表的结构：

typedef struct _HOTKEY
{
PVOID Win32Thread;
ULONG gptiCurrent;
...

分析学习木马鬼影

langouster@163.com (langouster) — Fri, 19 Mar 2010 19:22:11 +0800

昨天分析了下鬼影的驱动文件atixx.sys，分析了大概8、9成，学到了一些东西。

1.从这个木马里看到了一条IDA不认识的指令，mov eax,cr0它对应的机器码是0f20c0；

2.还有指令lock jmp，非常干扰IDA的分析；

3.另外返回使用jmp dword ptr [esp-4]会对动态调试造成影响

4.驱动文件执行一段加密一段，干扰静态分析。

...

貌似招行插件与工行插件冲突

langouster@163.com (langouster) — Wed, 17 Mar 2010 22:03:55 +0800

用工行的网上银行给招行跨行转帐，貌似就会出现冲突。

工行用的口令卡，在工行填写对话对方招行账号时，强悍的招商插件弹出一个安全警告，大概意思是提示在招行官方以外的网站输入招行卡号是不安全的，看来工行没有和招行搞好关系。

然后无视这个提示，继续下一步，再下一步，到了显示转帐单要输入口令密码时，工行弹出一个错误“非法字符展现”，然后口令卡坐标位置写了“异常”2字。

回去重新操作了两遍还是不行，退出重新登录也不行，再从Maxthon换到IE7还不行，前前后后登录了不下四次，重输对方帐号、姓名、分行地址不下5次，还是不停的弹那个错误错，当时真是火气都来了。

...

Langouster 's Blog(虾 窝)