1
如何在微过滤驱动中获取路径

// 一个很有用的节点检查。能帮我们及时发现链表操作的bug
#define DUBIOUS_PATH_ASSERT(a) \
     ASSERT(a == NULL || (MmIsAddressValid(a) && \
         (a->next == NULL || (MmIsAddressValid(a->next) && \
         a->next != a))))
// 此函数为FltGetFileNameInformation的替代品。他可以直接生成一个DUBIOUS_PATH，
// 便于后面插入哈希表中
DUBIOUS_PATH* DubiousGetFilePathAndUpcase(PFLT_CALLBACK_DATA data)  （1）
{
     DUBIOUS_PATH* ret = NULL;
     NTSTATUS status = STATUS_SUCCESS;
     ULONG length = 0;
     PFLT_FILE_NAME_INFORMATION name_info = NULL;
     do {
         BreakIf(KeGetCurrentIrql() > APC_LEVEL);  （2）
         // 获取文件的全路径。这个操作有中断级的要求。
         status = FltGetFileNameInformation(  （3）
              data,
              FLT_FILE_NAME_NORMALIZED,  （4）
              &name_info); （5）
         // 检查返回参数是否合理。路径如果太长就直接返回失败了。注意这如果不加处理，
         // 其实也是一个漏洞。
         BreakIf(status != STATUS_SUCCESS ||
              name_info->Name.Length == 0 ||
              name_info->Name.Length >= DUBIOUS_MAX_PATH);  （6）
         // 分配足够的长度。
         length = sizeof(DUBIOUS_PATH) + name_info->Name.Length;
         ret = (DUBIOUS_PATH*)ExAllocatePoolWithTag(
              NonPagedPool, length, MEM_TAG);（7）
         BreakIf(ret == NULL);
         // 复制字符串，顺便完成大写化。
         memset(ret, 0, length);
          ret->path.Buffer = (PWCHAR)(ret + 1);
         ret->path.MaximumLength = name_info->Name.Length;
         ret->path.Length = 0;
          RtlUpcaseUnicodeString(&ret->path, &name_info->Name, FALSE);  （8）
         DUBIOUS_PATH_ASSERT(ret); 
     } while (0);
     if (name_info != NULL) 
     {
      FltReleaseFileNameInformation(name_info);  （9）
     }
     return ret;
}

2
在微过滤驱动中拦截可执行模块加载

     // 文件过滤驱动需要过滤的回调
     CONST FLT_OPERATION_REGISTRATION callbacks[] = {
         …
         {
          IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION,
          FLTFL_OPERATION_REGISTRATION_SKIP_PAGING_IO,
              AcquireSectionIrpProcess,
              NULL
         },
         …

FLT_PREOP_CALLBACK_STATUS
     AcquireSectionIrpProcess(
         PFLT_CALLBACK_DATA data,
         PCFLT_RELATED_OBJECTS flt_obj,
         PVOID* compl_context)
{
     // 监控所有PE文件的加载。且可以在这里拒绝加载。
     FLT_PREOP_CALLBACK_STATUS flt_status =
         FLT_PREOP_SUCCESS_NO_CALLBACK;
     DUBIOUS_PATH* path = NULL;
     do {
         // 只对可执行文件的映射感兴趣
         BreakIf(data->Iopb->Parameters.
          AcquireForSectionSynchronization.SyncType 
              != SyncTypeCreateSection);  （1）
         BreakIf(data->Iopb->Parameters.
          AcquireForSectionSynchronization.PageProtection 
              != PAGE_EXECUTE); （2）
         // 获取路径
         path = DubiousGetFilePathAndUpcase(data);  （3）
         // 这里跳出，实际上导致漏洞产生
         BreakIf(path == NULL);
         // 如果路径本身无可疑，直接放过即可
         BreakIf(!IsDubious(path));  （4）
         // 可疑模块加载。
         LOG(("KRPS: AcquireSectionIrpProcess: dubious path = %wZ is loading\r\n", 
              path));
         // 在实际应用中，这里应该根据path获得文件，然后读取文件计算文件哈希值（比
         // 如md5。如果确认md5为白，则从可以列表中删除该路径。如果确认为黑，则禁止
         // 禁止加载。黑白文件md5可以从服务端下载。对非黑非白的可以提交到服务器要求
         // 判断。这个过程可以用FltSendMessage发送到用户态，在用户态用一个服务程
         // 序来执行。本示例省去了用户态代码，所以这里注释
         // if (FltSendMessage(...) == STATUS_SUCCESS && reply == ALLOWED)
         // { 
         //       DubiousRemove(path))
         //       break;
         // }
         // 如果没有通过验证则阻止
         // 注意，阻止的方式有两种。STATUS_ACCESS_DENIED会弹出提示框并导致进程
         // 退出。而设置STATUS_INSUFFICIENT_RESOURCES阻止非必要的DLL，进程不
         // 会退出，也没有任何提示。这种情况对用户的干扰较小。但必要的DLL不能加载
         // 进程还是会启动失败
         // data->IoStatus.Status = STATUS_INSUFFICIENT_RESOURCES;  （5）
         data->IoStatus.Status = STATUS_ACCESS_DENIED;
         LOG(("KRPS: AcquireSectionIrpProcess: Denied.\r\n", path));
         flt_status = FLT_PREOP_COMPLETE;  （6）
     } while (0);
     DoIf(path != NULL, ExFreePool(path));
     return flt_status;
}

3
最终演示效果

# 往期推荐

1、基于 Frida 对单字节加密验证程序侧信道爆破

2、WEB逆向之参数纯算分析

3、hook 微信信息撤回功能

4、CVE-2018-17066复现（D-Link命令注入漏洞）

5、x64环境下利用IDA+Windbg+VmWare实现对Nt!KiSystemStartup 的调试