调试钩取技术 - 记事本WriteFile() API钩取

@author: dlive

0x01 简介

本章将讲解前面介绍过的调试钩取技术，钩取记事本的kernel32!WriteFile() API

调试钩取技术能进行与用户更具有交互性(interactive)的钩取操作,这种技术会向用户提供简单的接口，使用户能够控制目标进程的运行，并且可以自由使用进程内存。

调试钩取技术涉及的重要API： DebugActiveProcess,GetThreadContext,SetThreadContext

0x02 调试器工作原理

调试进程经过注册之后，每当被调试者触发调试事件，OS就会暂停其运行，并向调试器报告相应事件。调试器对相应事件做适当处理后，使被调试者继续运行。

一般的异常Exception也属于调试事件
若相应进程处于非调试，调试事件会在其自身的异常处理或OS的异常处理机制中被处理掉
调试器无法处理或不关心的调试事件最终由OS处理

0x03 调试事件

Windows的DebugEvent:https://msdn.microsoft.com/en-us/library/windows/desktop/ms679302(v=vs.85).aspx

我们关注的比较重要的调试事件是EXCEPTION_DEBUG_EVENT,该事件对应了多种异常事件(异常事件列表见书)

各种异常中，调试器必须处理的是EXCEPTION_BREAKPOINT异常。断点对应的汇编指令为INT 3，IA-32指令为0xCC。

代码调试遇到INT3指令即中断执行，EXCEPTION_BREAKPOINT异常事件被传送到调试器，此时调试器可以做多种处理。

调试器实现断点的方法非常简单，找到要设置断点的代码在内存中的起始地址，只要把1字节修改为0xCC就可以了。想继续运行时将它恢复原值。

0x04 调试WirteFile函数

(运行调试器需要使用管理员权限)

测试环境为Win7 x86

在OD的CPU窗口右键->查找->所有模块中的名称，然后搜索WriteFile函数，找到kernel32中的导出函数WriteFile的位置下断点，使用notepad.exe保存文件程序断在kernel32!WriteFile的入口处

可以看到被保存的字符串首地址写在esp+8的位置

0x05 钩子代码分析

main

int main(int argc, char* argv[])

{

    DWORD dwPID;

    if( argc != 2 )

    {

        printf("\nUSAGE : hookdbg.exe <pid>\n");

        return 1;

    }

    // Attach Process

    dwPID = atoi(argv[1]);

    if( !DebugActiveProcess(dwPID) )

    {

        printf("DebugActiveProcess(%d) failed!!!\n"

               "Error Code = %d\n", dwPID, GetLastError());

        return 1;

    }

    DebugLoop();

    return 0;

}

main中使用DebugActiveProcess将调试器附加到指定PID的进程上

也可以使用CreateProcess API从一开始就直接以调试模式运行相关进程

DebugLoop

void DebugLoop()

{

    DEBUG_EVENT de;

    DWORD dwContinueStatus;

    while( WaitForDebugEvent(&de, INFINITE) )

    {

        dwContinueStatus = DBG_CONTINUE;

        if( CREATE_PROCESS_DEBUG_EVENT == de.dwDebugEventCode )

        {

            OnCreateProcessDebugEvent(&de);

        }

        else if( EXCEPTION_DEBUG_EVENT == de.dwDebugEventCode )

        {

            if( OnExceptionDebugEvent(&de) )

                continue;

        }

        else if( EXIT_PROCESS_DEBUG_EVENT == de.dwDebugEventCode )

        {

            break;

        }

        ContinueDebugEvent(de.dwProcessId, de.dwThreadId, dwContinueStatus);

    }

}

DebugLoop处理了三个DebugEvent，分别是

CREATE_PROCESS_DEBUG_EVENT：被调试进程启动/附加时触发该事件，调试器调用OnCreateProcessDebugEvent()

EXCEPTION_DEBUG_EVENT：被调试进程遇到iNT 3指令时触发该事件，调试器调用OnExceptionDebugEvent()

EXIT_PROCESS_DEBUG_EVENT：被调试进程终止时触发，在本代码中，调试器在被调试器终止时退出

OnCreateProcessDebugEvent

LPVOID g_pfWriteFile = NULL; //global_pointer_function_WirteFile

CREATE_PROCESS_DEBUG_INFO g_cpdi; //global_create_process_debug_info

BYTE g_chINT3 = 0xCC, g_chOrgByte = 0; 

BOOL OnCreateProcessDebugEvent(LPDEBUG_EVENT pde)

{

    g_pfWriteFile = GetProcAddress(GetModuleHandleA("kernel32.dll"), "WriteFile");

    memcpy(&g_cpdi, &pde->u.CreateProcessInfo, sizeof(CREATE_PROCESS_DEBUG_INFO));

  	//g_cpdi.hProcess为被调试程序的句柄

    ReadProcessMemory(g_cpdi.hProcess, g_pfWriteFile,

                      &g_chOrgByte, sizeof(BYTE), NULL);

    WriteProcessMemory(g_cpdi.hProcess, g_pfWriteFile,

                       &g_chINT3, sizeof(BYTE), NULL);

    return TRUE;

}

代码首先获得WriteFile的内存地址,

然后将函数地址处的第一个字节数据存放在g_chOrgByte变量中，之后将函数地址处第一个字节改为0xCC

由于调试器拥有被调试进程的句柄（带有调试权限，DLL注入时也是首先将进程提升为调试权限[SE_DEBUG_NAME]）所以可以使用ReadProcessMemory和WriteProcessMemory对被调试进程的内存空间自由进行读写操作。

ReadProcessMemory:

https://msdn.microsoft.com/en-us/library/ms680553(VS.85).aspx

OnExceptionDebugEvent

BOOL OnExceptionDebugEvent(LPDEBUG_EVENT pde)

{

    CONTEXT ctx;

    PBYTE lpBuffer = NULL;

    DWORD dwNumOfBytesToWrite, dwAddrOfBuffer, i;

    PEXCEPTION_RECORD per = &pde->u.Exception.ExceptionRecord;

    // 异常是否为INT3断点导致的异常

    if( EXCEPTION_BREAKPOINT == per->ExceptionCode )

    {

        // 断点地址是否为WriteFile API的地址

        if( g_pfWriteFile == per->ExceptionAddress )

        {

            // #1. Unhook

            // 将0xCC 恢复为 original byte

            WriteProcessMemory(g_cpdi.hProcess, g_pfWriteFile,

                               &g_chOrgByte, sizeof(BYTE), NULL);

            // #2. 获取Thread Context

            ctx.ContextFlags = CONTEXT_CONTROL;

            GetThreadContext(g_cpdi.hThread, &ctx);

            // #3. 获取WriteFile()的第二和第三个参数

            //   参数在栈上的位置

            //   param 2 : ESP + 0x8

            //   param 3 : ESP + 0xC

            ReadProcessMemory(g_cpdi.hProcess, (LPVOID)(ctx.Esp + 0x8),

                              &dwAddrOfBuffer, sizeof(DWORD), NULL);

            ReadProcessMemory(g_cpdi.hProcess, (LPVOID)(ctx.Esp + 0xC),

                              &dwNumOfBytesToWrite, sizeof(DWORD), NULL);

            // #4. 开辟临时缓冲区

            lpBuffer = (PBYTE)malloc(dwNumOfBytesToWrite+1);

            memset(lpBuffer, 0, dwNumOfBytesToWrite+1);

            // #5. 将WriteFile()的第二个参数指向的缓冲区内容读出来

            ReadProcessMemory(g_cpdi.hProcess, (LPVOID)dwAddrOfBuffer,

                              lpBuffer, dwNumOfBytesToWrite, NULL);

            printf("\n### original string ###\n%s\n", lpBuffer);

            // #6. 小写字母转换成大写字母

            for( i = 0; i < dwNumOfBytesToWrite; i++ )

            {

                if( 0x61 <= lpBuffer[i] && lpBuffer[i] <= 0x7A )

                    lpBuffer[i] -= 0x20;

            }

            printf("\n### converted string ###\n%s\n", lpBuffer);

            // #7. 字母转换成大写后将临时缓冲区中的内容写入WriteFile的缓冲区

            WriteProcessMemory(g_cpdi.hProcess, (LPVOID)dwAddrOfBuffer,

                               lpBuffer, dwNumOfBytesToWrite, NULL);

            // #8. 释放动态申请的缓冲区

            free(lpBuffer);

            // #9. 将EIP修改为WriteFile()的起始地址

            ctx.Eip = (DWORD)g_pfWriteFile;

            SetThreadContext(g_cpdi.hThread, &ctx);

            // #10. 继续运行被调试进程

            ContinueDebugEvent(pde->dwProcessId, pde->dwThreadId, DBG_CONTINUE);

            Sleep(0);

            // #11. 重新设置API钩子方便下次钩取

            WriteProcessMemory(g_cpdi.hProcess, g_pfWriteFile,

                               &g_chINT3, sizeof(BYTE), NULL);

            return TRUE;

        }

    }

    return FALSE;

}

KK学长之前说写过一个程序获得当前系统所有运行的进程的EIP，现在想想好像可以用调试目标进程的方法获得

这里需要重点关注的地方是CONTEXT结构体，该结构体保存了线程的上下文信息，即线程的CPU寄存器信息

在调试进程的时候，被调试进程遇到INT 3会中断执行，执行流程调到调试器。被调试进程中断执行时的CPU寄存器信息就保存在CONTEXT结构体中。

从Windows XP开始可以调用DebugSetProcessKillOnExit函数，可以不销毁被调试进程就退出调试器，需要注意的是调试器退出前需要脱钩。

这本书有个好处，在前面的笔记中也提到过，就是每章后面有Q&A，好多看代码时自己的疑问都能在Q&A中找到解释。

在OnExceptionDebugEvent中调用ContinueDebugEvent之后，代码调用了Sleep(0)，当时看到这里的时候不解Sleep(0)有什么作用，在Sleep(0)之后紧接着又下了钩子。当时就想如果下钩子的操作跑到了被调试进程WriteFile执行的前面，WriteFile不就又被钩取住了么。看了Q&A之后明白，Sleep(0)的作用是释放当前线程的剩余时间片，也就是说执行Sleep(0)后，CPU会立即执行其他线程。被调试进程的主线程处于运行状态时会正常调用WriteFile。一段时间后，控制权再次转移给调试器线程，Sleep(0)后面的钩子代码会被调用执行。

0x06 推荐文章

这几天在知乎上推荐的一系列关于自己编写调试器的文章，附上知乎链接

https://www.zhihu.com/question/52553014/answer/136312479