Gamerz Online

• DDk (obviamente)
• WinDbg
• OSR Drive Loader
• DebugView
• VMWare

Push ArgumentoX
Push ArgumentoX-1
...
...
...
Push Argumento2
Push Argumento1
Push Argumento0
Call Api

NTSTATUS ZwOpenFileRep(OUT PHANDLE FileHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,OUT PIO_STATUS_BLOCK IoStatusBlock,IN ULONG  ShareAccess,IN ULONG OpenOptions)

__asm
 {
  cli
  push eax
  mov eax, cr0
  and eax, 0xFFFEFFFF
  mov cr0, eax
  pop eax
 }

__asm
 {
  push eax
  mov eax, cr0
  or eax, not 0xFFFEFFFF
  mov cr0, eax
  pop eax
  sti
 }

DWORD det;
DWORD dir;
DWORD MyDir;
 
det = (DWORD) 0xf7c80aa0;
dir = (DWORD) 0x8056f41a;
MyDir = (DWORD) ZwOpenFileRep;

__try
    {
  //Parcheamos la variable del programa victima con la dirección de nuestra función
  *(DWORD*)det = MyDir;
 
   }
 
    __except(EXCEPTION_EXECUTE_HANDLER) 
   {
  DbgPrint("Error en el procesamiento del Driver");
   }

NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING theRegistryPath)
{
    NTSTATUS s = STATUS_SUCCESS;
 
 det = (DWORD) 0xf7c80aa0;
 dir = (DWORD) 0x8056f41a;
 MyDir = (DWORD) ZwOpenFileRep;
 
 DriverObject->DriverUnload=OnUnload;
 
 DbgPrint("Modificado de memoria. Por Hendrix");
 
 
   ZwOpenFileIni =(typeZwOpenFile)dir;
 
   __asm
 {
  cli
  push eax
  mov eax, cr0
  and eax, 0xFFFEFFFF
  mov cr0, eax
  pop eax
 }
 
   __try
    {
  //Parcheamos la variable del programa victima con la dirección de nuestra función
  *(DWORD*)det = MyDir;
 
   }
 
    __except(EXCEPTION_EXECUTE_HANDLER) 
   {
  DbgPrint("Error en el procesamiento del Driver");
   }
 
   __asm
 {
  push eax
  mov eax, cr0
  or eax, not 0xFFFEFFFF
  mov cr0, eax
  pop eax
  sti
 }
 
   DbgPrint("Hook inyectado!!");
   return s;
}

VOID OnUnload(IN PDRIVER_OBJECT DriverObject)
{
   DbgPrint("Descargando driver...");
 
   __asm
 {
  cli
  push eax
  mov eax, cr0
  and eax, 0xFFFEFFFF
  mov cr0, eax
  pop eax
 }
 
   __try
    {
  //Reparamos la variable del driver victima con la dirección real de la API.
  *(DWORD*)det = (DWORD)ZwOpenFileIni;
   }
 
    __except(EXCEPTION_EXECUTE_HANDLER) 
   {
  DbgPrint("Error en el procesamiento del Driver");
   }
 
   __asm
 {
  push eax
  mov eax, cr0
  or eax, not 0xFFFEFFFF
  mov cr0, eax
  pop eax
  sti
 }
}

NTSTATUS ZwOpenFileRep(OUT PHANDLE FileHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,OUT PIO_STATUS_BLOCK IoStatusBlock,IN ULONG  ShareAccess,IN ULONG OpenOptions)
{
 
   NTSTATUS ntStatus;
   OBJECT_ATTRIBUTES oa;
 
 
   ntStatus = ((typeZwOpenFile)(ZwOpenFileIni)) (FileHandle, DesiredAccess, ObjectAttributes, IoStatusBlock,  ShareAccess, OpenOptions);
   if (ntStatus!=STATUS_SUCCESS) return ntStatus;
 
 __try
    {
  //Limpiamos toda la información de la estructura para que no nos pillen el nombre del fichero
  RtlZeroMemory(ObjectAttributes,sizeof(ObjectAttributes));
  InitializeObjectAttributes(ObjectAttributes,NULL,0,NULL,NULL);
 
   }
 
    __except(EXCEPTION_EXECUTE_HANDLER) 
   {
  DbgPrint("Error en el procesamiento del Driver");
   }
 
   return ntStatus;
}

#include "ntddk.h"
#include 
 
#pragma pack(1)
typedef struct ServiceDescriptorEntry {
        unsigned int *ServiceTableBase;
        unsigned int *ServiceCounterTableBase;
        unsigned int NumberOfServices;
        unsigned char *ParamTableBase;
} ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;
#pragma pack()
 
__declspec(dllimport)  ServiceDescriptorTableEntry_t KeServiceDescriptorTable;
#define SYSTEMSERVICE(_function)  KeServiceDescriptorTable.ServiceTableBase[ *(PULONG)((PUCHAR)_function+1)]
 
PMDL  g_pmdlSystemCall;
PVOID *MappedSystemCallTable;
#define SYSCALL_INDEX(_Function) *(PULONG)((PUCHAR)_Function+1)
#define HOOK_SYSCALL(_Function, _Hook, _Orig )  \
       _Orig = (PVOID) InterlockedExchange( (PLONG) &MappedSystemCallTable[SYSCALL_INDEX(_Function)], (LONG) _Hook)
 
#define UNHOOK_SYSCALL(_Function, _Hook, _Orig )  \
       InterlockedExchange( (PLONG) &MappedSystemCallTable[SYSCALL_INDEX(_Function)], (LONG) _Hook)
 
static char archivo[] = "\\??\\C:\\prueba.txt";
 
NTSYSAPI
NTSTATUS
NTAPI ZwOpenFile(OUT PHANDLE FileHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,OUT PIO_STATUS_BLOCK IoStatusBlock,IN ULONG  ShareAccess,IN ULONG OpenOptions);
 
typedef NTSTATUS (*typeZwOpenFile)(OUT PHANDLE FileHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,OUT PIO_STATUS_BLOCK IoStatusBlock,IN ULONG  ShareAccess,IN ULONG OpenOptions);
typeZwOpenFile ZwOpenFileIni;
 
 
NTSTATUS ZwOpenFileRep(OUT PHANDLE FileHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,OUT PIO_STATUS_BLOCK IoStatusBlock,IN ULONG  ShareAccess,IN ULONG OpenOptions)
{
 
   NTSTATUS ntStatus;
   ANSI_STRING strf;
 
 
   ntStatus = ((typeZwOpenFile)(ZwOpenFileIni)) (FileHandle, DesiredAccess, ObjectAttributes, IoStatusBlock,  ShareAccess, OpenOptions);
   if (ntStatus!=STATUS_SUCCESS) return ntStatus;
 
 __try
    {
    RtlUnicodeStringToAnsiString(&strf,ObjectAttributes->ObjectName,TRUE);
    if (strcmp(archivo,strf.Buffer)==0)
    {
   if (DesiredAccess & DELETE)
   {
    DbgPrint("Se intentó eliminar el archivo...");
    ZwClose(FileHandle);
    *FileHandle=NULL;
    return STATUS_INVALID_HANDLE;
   }
    }
   }
 
    __except(EXCEPTION_EXECUTE_HANDLER) 
   {
  DbgPrint("Error en el procesamiento del Driver");
   }
 
   return ntStatus;
}
 
VOID OnUnload(IN PDRIVER_OBJECT DriverObject)
{
   DbgPrint("Descargando driver...");
 
   UNHOOK_SYSCALL(ZwOpenFile, ZwOpenFileIni, ZwOpenFileRep);
 
   if(g_pmdlSystemCall)
   {
      MmUnmapLockedPages(MappedSystemCallTable, g_pmdlSystemCall);
      IoFreeMdl(g_pmdlSystemCall);
   }
}
 
NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING theRegistryPath)
{
    NTSTATUS s = STATUS_SUCCESS;
 
 DriverObject->DriverUnload=OnUnload;
 
    DbgPrint("*** Programa de control de archivos. Por Hendrix ***");
 DbgPrint(" ");
 DbgPrint("Driver cargado.");
 
 
   ZwOpenFileIni =(typeZwOpenFile)(SYSTEMSERVICE(ZwOpenFile));
 
   DbgPrint("Direccion actual: 0x%x",(int)(SYSTEMSERVICE(ZwOpenFile)));
 
   g_pmdlSystemCall = MmCreateMdl(NULL, KeServiceDescriptorTable.ServiceTableBase, KeServiceDescriptorTable.NumberOfServices*4);
   if(!g_pmdlSystemCall)
      return STATUS_UNSUCCESSFUL;
 
   MmBuildMdlForNonPagedPool(g_pmdlSystemCall);
 
   g_pmdlSystemCall->MdlFlags = g_pmdlSystemCall->MdlFlags | MDL_MAPPED_TO_SYSTEM_VA;
 
   MappedSystemCallTable = MmMapLockedPages(g_pmdlSystemCall, KernelMode);
 
   HOOK_SYSCALL(ZwOpenFile, ZwOpenFileRep, ZwOpenFileIni);
 
   DbgPrint("Direccion despues del Hook: 0x%x",(int)(SYSTEMSERVICE(ZwOpenFile)));
   return s;
}

#include 
#include 
#include 
#include 
 
#pragma pack(1)
 
 
NTSYSAPI
NTSTATUS
NTAPI ZwOpenFile(OUT PHANDLE FileHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,OUT PIO_STATUS_BLOCK IoStatusBlock,IN ULONG  ShareAccess,IN ULONG OpenOptions);
 
typedef NTSTATUS (*typeZwOpenFile)(OUT PHANDLE FileHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,OUT PIO_STATUS_BLOCK IoStatusBlock,IN ULONG  ShareAccess,IN ULONG OpenOptions);
typeZwOpenFile ZwOpenFileIni;
 
DWORD det;
DWORD dir;
DWORD MyDir;
 
 
 
NTSTATUS ZwOpenFileRep(OUT PHANDLE FileHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,OUT PIO_STATUS_BLOCK IoStatusBlock,IN ULONG  ShareAccess,IN ULONG OpenOptions)
{
 
   NTSTATUS ntStatus;
   ANSI_STRING strf;
   OBJECT_ATTRIBUTES oa;
 
 
   ntStatus = ((typeZwOpenFile)(ZwOpenFileIni)) (FileHandle, DesiredAccess, ObjectAttributes, IoStatusBlock,  ShareAccess, OpenOptions);
   if (ntStatus!=STATUS_SUCCESS) return ntStatus;
 
 __try
    {
  //Limpiamos toda la información de la estructura para que no nos pillen el nombre del fichero
  RtlZeroMemory(ObjectAttributes,sizeof(ObjectAttributes));
  InitializeObjectAttributes(ObjectAttributes,NULL,0,NULL,NULL);
 
   }
 
    __except(EXCEPTION_EXECUTE_HANDLER) 
   {
  DbgPrint("Error en el procesamiento del Driver");
   }
 
   return ntStatus;
}
 
VOID OnUnload(IN PDRIVER_OBJECT DriverObject)
{
   DbgPrint("Descargando driver...");
 
   __asm
 {
  cli
  push eax
  mov eax, cr0
  and eax, 0xFFFEFFFF
  mov cr0, eax
  pop eax
 }
 
   __try
    {
  //Reparamos la variable del driver victima con la dirección real de la API.
  *(DWORD*)det = (DWORD)ZwOpenFileIni;
   }
 
    __except(EXCEPTION_EXECUTE_HANDLER) 
   {
  DbgPrint("Error en el procesamiento del Driver");
   }
 
   __asm
 {
  push eax
  mov eax, cr0
  or eax, not 0xFFFEFFFF
  mov cr0, eax
  pop eax
  sti
 }
}
 
NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING theRegistryPath)
{
    NTSTATUS s = STATUS_SUCCESS;
 
 det = (DWORD) 0xf7bcc9a0;
 dir = (DWORD) 0x8056f41a;
 MyDir = (DWORD) ZwOpenFileRep;
 
 DriverObject->DriverUnload=OnUnload;
 
 DbgPrint("Modificado de memoria. Por Hendrix");
 
 
   ZwOpenFileIni =(typeZwOpenFile)0x8056f41a;
 
   __asm
 {
  cli
  push eax
  mov eax, cr0
  and eax, 0xFFFEFFFF
  mov cr0, eax
  pop eax
 }
 
   __try
    {
  //Parcheamos la variable del programa victima con la dirección de nuestra función
  *(DWORD*)det = MyDir;
 
   }
 
    __except(EXCEPTION_EXECUTE_HANDLER) 
   {
  DbgPrint("Error en el procesamiento del Driver");
   }
 
   __asm
 {
  push eax
  mov eax, cr0
  or eax, not 0xFFFEFFFF
  mov cr0, eax
  pop eax
  sti
 }
 
   DbgPrint("Hook inyectado!!");
   return s;
}