…
     do {
         KIRQL irql = KeGetCurrentIrql();
         // 后面调用DubiousGetFilePathAndUpcase等，中断级不能太高。
         // [风险: 绕过                     （1）
         //  中断级高于APC_LEVEL时,可以绕过。]
         // [评估:*                        （2）
         //   这种情况不符合微软文档，无需处理。]
         BreakIf(irql > APC_LEVEL);                （3）
     …
     } while(0);
     …

FLT_PREOP_CALLBACK_STATUS
     AcquireSectionIrpProcess(
         PFLT_CALLBACK_DATA data,
         PCFLT_RELATED_OBJECTS flt_obj,
         PVOID* compl_context)
{
     // 监控所有PE文件的加载。且可以在这里拒绝加载。
     FLT_PREOP_CALLBACK_STATUS flt_status =
         FLT_PREOP_SUCCESS_NO_CALLBACK;
     DUBIOUS_PATH* path = NULL;
     KIRQL irql = KeGetCurrentIrql();
     do {
         // 后面调用DubiousGetFilePathAndUpcase等，中断级不能太高。
         // [风险: 绕过
         //  中断级高于APC_LEVEL,可以绕过。]
         // [评估: *
         //   微软文档限制irql最高为APC_LEVEL，此处无风险。]
         BreakIf(irql > APC_LEVEL);
 
         // 只对可执行文件的映射感兴趣
         // [风险: 绕过
         //  是否存在PE文件加载时，AcquireSection请求出现
         //  data->Iopb->Parameters.
         //       AcquireForSectionSynchronization.SyncType
         //  不是SyncTypeCreateSection的情况？如果有，能绕过防护。]
         // [评估: *
         //    暂时未知有这种情况，暂不处理。]
         BreakIf(data->Iopb->Parameters.
              AcquireForSectionSynchronization.SyncType 
              != SyncTypeCreateSection);
 
         // [风险: 绕过                     （1）
         //  是否存在PE文件加载时，AcquireSection请求出现
         //  data->Iopb->Parameters.
         //  AcquireForSectionSynchronization.PageProtection
         //   不是PAGE_EXECUTE的情况？
         //  如果有，能绕过防护。]
         // [评估: **
         //   不知是否存在先以非PAGE_EXECUTE的方式生成，然后用其他请
         // 求设置为PAGE_EXECUTE的情况。暂时没有调查，暂不处理。]
         BreakIf(data->Iopb->Parameters.
              AcquireForSectionSynchronization.PageProtection 
              != PAGE_EXECUTE);
 
         // 获取路径
         // [风险: 绕过
         //   DubiousGetFilePathAndUpcase()若返回失败，可绕过防护。
         //   => DubiousGetFilePathAndUpcase()风险：失败。   （2）
         //  ]
         // [评估:
         //   可考虑DubiousGetFilePathAndUpcase返回失败则让
         //   AcquireSectionIrpProcess请求失败，彻底消弭此风险。但
         //   需要广泛测试确认这样没问题。]
         path = DubiousGetFilePathAndUpcase(data);
         // 这里跳出，实际上导致漏洞产生
         BreakIf(path == NULL);
         // 如果路径本身无可疑，直接放过即可
 
         // [风险: 绕过
         //   IsDubious()若返回假假，则可以绕过。        （3）
         //   => IsDubious()风险：假假。
         //  ]
         // [评估:
         //   暂不处理]
         BreakIf(!IsDubious(path));
 
         // 可疑模块加载。
         LOG(("KRPS: AcquireSectionIrpProcess: dubious path = %wZ is loading\r\n", 
              path));
         // 在实际应用中，这里应该根据path获得文件，然后读取文件计算文件
         // 哈希值（比如md5。如果确认md5为白，则从可以列表中删除该路径。
         // 如果确认为黑，则禁止加载。黑白文件md5可以从服务端下载。对
         // 非黑非白的可以提交到服务器要求判断。这个过程可以用
         // FltSendMessage发送到用户态，在用户态用一个服务程序来执行。
         // 本示例省去了用户态代码，所以这里注释
         // if (FltSendMessage(...) == STATUS_SUCCESS && reply == ALLOWED)
         // { 
         //       DubiousRemove(path))
         //       break;
         // }
         // 如果没有通过验证则阻止
         // 注意，阻止的方式有两种。STATUS_ACCESS_DENIED会弹出提示框并
         // 导致进程退出。而设置STATUS_INSUFFICIENT_RESOURCES阻止非必
         // 要的DLL，进程不会退出，也没有任何提示。这种情况对用户的干扰较
         // 小。但必要的DLL不能加载进程还是会启动失败
         // data->IoStatus.Status = STATUS_INSUFFICIENT_RESOURCES;
         data->IoStatus.Status = STATUS_ACCESS_DENIED;
         LOG(("KRPS: AcquireSectionIrpProcess: Denied.\r\n", path));
         flt_status = FLT_PREOP_COMPLETE;
     } while (0);
     DoIf(path != NULL, ExFreePool(path));
     return flt_status;
}

         // 获取路径
         // [风险: 绕过
         //   DubiousGetFilePathAndUpcase()若返回失败，可绕过防护。
         //   => DubiousGetFilePathAndUpcase()风险：失败。 （1）
         //  ]
         // [评估:
         //   可考虑DubiousGetFilePathAndUpcase返回失败则让
         //   AcquireSectionIrpProcess请求失败，彻底消弭此风险。但
         //   需要广泛测试确认这样没问题。]
         path = DubiousGetFilePathAndUpcase(data);      （2）
         // 这里跳出，实际上导致漏洞产生
         BreakIf(path == NULL);                （3）
         // 如果路径本身无可疑，直接放过即可
 
         // [风险: 绕过
         //   IsDubious()若返回假假，则可以绕过。 
         //   => IsDubious()风险：假假。
         //  ]
         // [评估:
         //   暂不处理]
         BreakIf(!IsDubious(path));

DUBIOUS_PATH* DubiousGetFilePathAndUpcase(PFLT_CALLBACK_DATA data)
{
     DUBIOUS_PATH* ret = NULL;
     NTSTATUS status = STATUS_SUCCESS;
     ULONG length = 0;
     PFLT_FILE_NAME_INFORMATION name_info = NULL;
     do {
         // 后面调用FltGetFileNameInformation，中断级不能太高。
         // [风险: 失败
         //  中断级高于APC_LEVEL,可以绕过。]
         // [评估: *
         //   不应在不正确中断级调用此函数。因此这里可以改为BugCheck。]
         BreakIf(KeGetCurrentIrql() > APC_LEVEL);
         // 获取文件的全路径。这个操作有中断级的要求。
         status = FltGetFileNameInformation(
              data,
              FLT_FILE_NAME_NORMALIZED,
              &name_info);
         // 检查返回参数是否合理。路径如果太长就直接返回失败了。注意这如果不加处理，
         // 其实也是一个漏洞。
 
         // [风险: 失败
         //  FltGetFileNameInformation失败时可以绕过。]
         // [评估: *
         //   根据文档没有失败理由，此处基本无风险。]
         // [风险: 失败
         //  路径长于DUBIOUS_MAX_PATH时可以绕过。]
         // [评估: ***                            （1）
         //   确实可以构造超长路径绕过。可以考虑改为长路径禁止，但必须修改函数返回。]
         BreakIf(status != STATUS_SUCCESS ||
              name_info->Name.Length == 0 ||
              name_info->Name.Length >= DUBIOUS_MAX_PATH);
         // 分配足够的长度。
         length = sizeof(DUBIOUS_PATH) + name_info->Name.Length;
         ret = (DUBIOUS_PATH*)ExAllocatePoolWithTag(
              NonPagedPool, length, MEM_TAG);
         // [风险: 失败
         //  内存枯竭时可以绕过。]
         // [评估: **
         //   确实可以耗尽内存绕过。可以考虑改为内存耗尽时一律返回禁止。]
         BreakIf(ret == NULL);
         // 复制字符串，顺便完成大写化。
         memset(ret, 0, length);
         ret->path.Buffer = (PWCHAR)(ret + 1);
         ret->path.MaximumLength = name_info->Name.Length;
         ret->path.Length = 0;
         RtlUpcaseUnicodeString(&ret->path, &name_info->Name, FALSE);
         DUBIOUS_PATH_ASSERT(ret);
     } while (0);
     if (name_info != NULL)
     {
         FltReleaseFileNameInformation(name_info);
     }
     return ret;
}

# 往期推荐

1、Alt-Tab Terminator注册算法逆向

2、恶意木马历险记

3、VMP源码分析：反调试与绕过方法

4、Chrome V8 issue 1486342浅析

5、Cython逆向-语言特性分析