كود برنامج Regmon

السلام عليكم

رجاء الكتابة بالعربية .

بالطبع لا يمكن شرح الكود بالكامل فلا تنسى اننا في أيام امتحانات !

هل لديك أي تجارب سابقة في برمجة الدرايفرز ؟؟

ان كانت الاجابة بنعم فقل لي ما هو الجزء او الاجراء الذي لم تفهمه , ان كانت الاجابة بلا فالأفضل ان تبدأ بالاساسيات كي لا تتعب نفسك .

thank you for answering me,currently i'am writing in a keyboard that does not support arabic sorry for that and where i can go to read the basics you talked about??

what is the use of the following micro

#if DBG

#define DbgPrint(arg) DbgPrint arg

#else

#define DbgPrint(arg)

#endif

i know that replaces the original DbgPrint(arg) with the other one but what its use here

هي فقط لتشغيل الدالة DbgPrint عند العمل على بيئة الـChecked و اغلاقها عند العمل على البيئة Free

Thank you addict but i have another question to make sure that i understood you mean when it is running on client machine if there is a debug statments they can not see it with debugView

لا لا لا ...

أنا كنت اقصد انه عند ترجمة الكود بواسطة الـddk فهناك Two Environment :

1-Free Version : مثلها مثل 'Release' Environment في مترجم الـVC العادي.

2-Checked Version : مثلها مثل 'Debug' Environment في مترجم الـVC العادي.

وبذلك يمكنك ان ترى رسائل الـdebug في النسخة الـchecked فقط ;)

thank you dear brother i want to ask about IRP that device work with i read them alot and i did not understand also when writing the driverEntry which opposite to the main what is the difference between pointer to device

and pointer to driver

also the following code i did not understand while i know c free well

#ifdef ALPHA

#define FUNCTION_PTR(_Function) (*(PULONG)_Function) & 0x0000FFFF

#else

#define FUNCTION_PTR(_Function) *(PULONG)((PUCHAR)_Function+1)

#endif

الـIRP عبارة عن structure يمثل الرسائل التي يتم ارسالها للدرايفر لتنبيهه بشئ معين , كما انها قد تكون محملة ببعض البيانات وافضل الطرق لفهمها اكثر و الاعتياد عليها هو كتابة اكواد اكثر فأكثر :wink:

 #ifdef ALPHA
#define FUNCTION_PTR(_Function) (*(PULONG)_Function) & 0x0000FFFF
#else
#define FUNCTION_PTR(_Function) *(PULONG)((PUCHAR)_Function+1)
#endif

تستخدم هذه الماكرو لجلب الـDWORD الواقعة بعد 1 بايت من العنوان المحدد (عنوان الـFunction) , بأي حال هي تستخدم لمعرفة الـService Index لبعض روتينات النظام البادئة بـZw لأن جميعهم يبدأ بكود مثل هذا :

mov eax, xxx

أول بايت هو الـopcode لتعليمة mov اما الـDWORD التابع له فهو الـService Index الخاص بهذا الروتين ...

هل فهمت ؟؟

thank you bro i know i'am asking too many dump question but truely i wanna learn about your final answer i understood the part of asm but the code in c he tries to reach SSDT right to the pointer that holds the address of specific function then he got this address anding it to only hold the value that he wants as you mentioned

i want to what is _Function can you put an example to make the things more clearer

This :

#define FUNCTION_PTR(_Function) (*(PULONG)_Function) & 0x0000FFFF

is not for x86 machines , not really sure ... but the used one is :

#define FUNCTION_PTR(_Function) *(PULONG)((PUCHAR)_Function+1)

------------------------

Example:

if you want to hook OpenProcess which is interface to ZwOpenProcess in the kernel then you have 1st to get it's service number,ZwOpenProcess routine looks like this :

  MOV EAX,0x7A
  LEA EDX,DWORD PTR [ESP+0x4]
  PUSHFD 
  PUSH 0x8
  CALL 0x0406D36
  RET 0x10

the 1st byte is the opcode for the mov instruction as i said which is 0xb8, the followed DWORD is the Service number which is 0x7a in XP OS ...

the KeServiceDescriptorTable is a pointer to SERVICE_DESCRIPTOR_TABLE structure with contains 4 members , one of them is ServiceTable which is a pointer to array that holds every service address....

using the number we got from ZwOpenProcess we can patch it's corresponding element in that array with our own alternative function .

اتمنى ان تتبع قوانين المنتدى وتكون المشاركات بالغة العربية

صحيح أسف على ذلك , فور الانتهاء سأقوم بترجمة جميع المشاركات !

الى الاخ addict or gamingMaster انا فهمت الاسمبلى والشرح الاكثر من رائع الذى يليها ولكن اريد شرح الماكرو المكتوب بالسى بالتفصيل لو سمحتم

اخوتى بعد طول بحث وجدت الاتى كمثال نريد عمل hooking to native API Like NtCreateFile() التى هى interface for CreateFile API

لعمل hooking على الدالة الNative نجلب العنوان من الملف ntdll.dll

1-step 1 API GetModuleHandle function returns a module handle for the specified module if the file has been mapped into the address space of the calling process.

HMODULE hmod=GetModuleHandle("ntdll.dll");

2-step2 API FARPROC GetProcAddress(HMODULE hModule,LPCSTR lpProcName) function returns the address of the specified exported dynamic-link library (DLL) function

note i don't know what is the hell FARPROC is so i will store the address in a plain dword pointer var

my guess is that maybe pointer to function but i'm too lazy to search for it

dword tempvar=1+(dword)GetProcAddress(hmod,"NtCreateFile");

as we know from addict or gamingmaster explaining that the service index of these function stored in five bytes the first byte is an op code to mov eax instruction then the followed four bytes are the address of this paritcular function then we wanna know the address of function NtCreateFile but after one byte adding to get it write or we can simply read the five bytes but neglect the first of them

3-step 3 last step we need the tempvar to be stored in a pointer to be easily manipulated so

dword *pfinal=&tempvar;

this is my last statement plz someone tell if what i explained is write or not

thanks in advance

Apro

خلّي غيرك يستفيد واكتب بالعربية ...

اخى الفاضل لو تعلم عذابى للكتابة بالعربية ولكن ما رايك فيما كتبت

هل هناك احد مازال لديه اهتمام بالموضوع لا ارى اى تعليقات الا من الاخ GamingMaster

ليس لدي وقت حالياً حتى لقراءة مشاركتك , لخّص ما تريده في سطرين وبالعربي كي يستفيد غيرك وان شاء الله لن يتأخر عليك من يعرف .

حسنا هناك خطأ عندك في النقطة الثالثة .

لمعرفة عنوان Native Service لابد من معرفة : الـIndex لهذه الـService و عنوان الـService Table او KeServiceDescriptorTable .

لمعرفة الـIndex :

هي الـdword بعد 1 byte من عنوان الـZwXxx .

مثلا ZwCreateFile تحت Xp :

mov eax,0x25
mov edx,0x7ffe0300
call dword ptr [edx]
ret 0x2c

كما ترى فإن اول تعليمة تتكون من شقين :

1- الـOpcode لتعليمة mov eax .

2- الـdestination وهو الـIndex الذي نريد الحصول عليه .

بالسي :

PBYTE ZwCreateFile [color= #000000;]= [color= #000000;](PBYTE[color= #000000;])GetProcAddress[color= #000000;](LoadLibrary[color= #000000;]([color= #A31515;]"ntdll.dll"[color= #000000;]), [color= #A31515;]"ZwCreateFile"[color= #000000;]);

DWORD Id [color= #000000;]= [color= #000000;]*[color= #000000;](PDWORD[color= #000000;])[color= #000000;](ZwCreateFile [color= #000000;]+ [color= #ff0000;]1[color= #000000;]);

حسناً انتهينا من الجزء الأول , بعد ذلك نريد كمثال ان نعرف عنوان الدالة في الـkernel + كيفية عمل hook لها من جدول الـSDT .

جدول الـSSDT مم يتكون ؟؟

هو عبارة عن Structure تركيبه كالتالي :

[color= #0000ff;]typedef [color= #0000ff;]struct _SERVICE_DESCRIPTOR_TABLE [color= #000000;]{

    PVOID   [color= #000000;]*ServiceTable;

    PULONG  CounterTable;

    ULONG   TableSize;

    PUCHAR  ArgumentTable;

[color= #000000;]} SERVICE_DESCRIPTOR_TABLE, [color= #000000;]*PSERVICE_DESCRIPTOR_TABLE;

ما يهمنا هو ServiceTable , كما ترى فهو عبارة عن مؤشر الى مصفوفة Array من PVOIDs تشير كل واحدة فيهم الى عنوان الـService مناظرا لرقم الـIndex .

فإذا اردنا معرفة عنوان NtCreateFile في الـKernel فما علينا إلا ان نقوم بجلب العنصر المناظر للـIndex = 37 او 0x25 , جدول الـSSDT يتم تصديره من ntoskrnl باسم KeServiceDescriptorTable :

PVOID NtCreateFile [color= #000000;]= KeServiceDescriptorTable[color= #000000;]-[color= #000000;]>ServiceTable[color= #000000;][Id[color= #000000;]];

وبالمثل اذا اردت عمل patch للـSSDT فستقوم بمساواة العنصر المناظر للـIndex بعنوان الدالة الـhandler الجديدة ... ولا تنسى الاحتياطات .

لا أعرف أين اختفى زر الشكر ،

شرح رائع أخي GamingMasteR

لعمل HOOK على دالة في الSSDT ممكن أستخدام المايكروات الجاهزة و وضعها داخل الدرايفر ،

هذا سيسهل الامر

اخى الفاضل يعجز لسانى عن الشكر

معلش يبدو ان فهمى ثقيل نوعا ما ولكن فى هذا السطر

dword id=*(PDWORD)(ZwCreateFile+1);

هنا نضيف 1بايت الى العنوان مفهومة ولكن ان نعمل كاست(cast)الى pointer to Dword ثم ناتى بمحتويات هذا العنوان

what is pointed to by this address

عملت تنقيح بالvc++

byte *tempvar=((byte *)GetProcAddress(hmod,"ZwCreateFile")+1);
	int funid=*(tempvar);

يودى نفس الوظيفة

شكر خاص لمن يتابع الموضوع وشكرا جزيلا لGamingMaster