系统范围的 API 挂钩

Question

我必须开发一个程序，它可以挂钩kernel32.dll，Advapi32.dll中的一些函数 例如，我必须更改某些功能的功能，例如 RegOpenKey().由于事实上，我无法向目标进程注入任何代码， 因为，当目标程序启动时，它首先调用该函数 我还被迫不向目标进程注入任何代码。 另外，我必须为每个当前正在运行的进程和应用程序（32 位、控制台应用程序、Win 应用程序）更改此函数，并且这些进程和应用程序将在将来运行。 我读过很多关于 DLL 注入、DLL 挂钩的文章，但我不知道如何克服这个问题。 所以请帮助我并分享你的知识。

Answer 1

拦截而不注入代码的唯一选择是内核模式驱动程序。注册表驱动程序很容易从 Vista+ 实现，但您需要进行一些 SSDT 注册表挂钩。 SSDT 在 XP 和 Vista/W7 中不能使用相同的代码，并且在 x64 环境中根本不起作用（不允许挂钩技术）。
因此，您必须为 XP 制作一个内核模式过滤驱动程序，为 Vista 和 W7 制作一个挂钩注册表 SSDT 和 CmRegisterCallback (更多信息）。

Answer 2

也许你可以看看Microsoft Detours。

Answer 3

根据您的需要，您应该编写一个内核驱动程序，可以挂钩您想要更改（或提供）额外功能的所需调用。例如：如果您挂接 write 调用，则在您的计算机上运行的每个程序（有一些可能的例外，我认为您不应该担心），每当调用 write code> 操作，您的挂钩函数将被调用，并带有有关调用进程的适当信息和一些其他信息（通常称为回调数据）。然后你可以从你的挂钩函数中执行/添加你想要的任何内容。

如果您使用的是 Windows XP SP3 及更高版本，则可以使用过滤器驱动程序，因为与旧版 Windows 驱动程序相比，它更容易学习和实现。虽然过滤器驱动程序有局限性，但对于您的要求，它们将非常适合。

Answer 4

为此，您最好的选择是热补丁，这就是微软在通过更新系统修补功能时使用的方法来应用系统范围的绕道。

Answer 5

据我从您的描述中了解到，您想要改变某个 API 的行为。但是，您没有指定是要更改传递给此类 API 的数据还是只是忽略该请求。无论如何，对于这样的需求，最简单、最简单的解决方案就是编写一个迷你过滤器内核驱动程序。在此方法中，您将使用 CmRegisterCallbackEx 而不是 CmRegisterCallback（因为这个已过时）来注册回调以过滤注册表事件。然后您可以编写自己的回调函数来处理您想要更改的每个注册表事件。这是有关如何编写此类迷你过滤器内核驱动程序的简单片段。请记住，您仍然需要编写逻辑来通过简单地拒绝请求或更改其内容来更改 API。

#include <fltKernel.h>
#include <dontuse.h>
#include <suppress.h>

LARGE_INTEGER g_Cookie = { 0 };

NTSTATUS DriverRegistryCallback(
    _In_ PVOID CallbackContext, 
    _In_ PVOID Argument1, 
    _In_ PVOID Argument2
    ) {
    UNREFERENCED_PARAMETER(CallbackContext);

    PREG_POST_OPERATION_INFORMATION PreInfo;
    PREG_OPEN_KEY_INFORMATION_V1 OpenKey;
    PREG_CREATE_KEY_INFORMATION_V1 CreateKey;

    REG_NOTIFY_CLASS RegOp = (REG_NOTIFY_CLASS)(ULONG_PTR)Argument1;
    switch (RegOp) {
        case RegNtPreCreateKeyEx:
            PreInfo = (PREG_POST_OPERATION_INFORMATION)Argument2;
            CreateKey = (PREG_CREATE_KEY_INFORMATION_V1)PreInfo->PreInformation;
            if (PreInfo->Status == STATUS_SUCCESS) {
                // do something here
            }
            break;

        case RegNtPreOpenKeyEx:
            PreInfo = (PREG_POST_OPERATION_INFORMATION)Argument2;
            OpenKey = (PREG_OPEN_KEY_INFORMATION_V1)PreInfo->PreInformation;
            if (PreInfo->Status == STATUS_SUCCESS) {
                // do something here
            }
            break;

        default:
            break;
    }

    return STATUS_SUCCESS;
}

VOID 
DriverUnload(
    _In_ PDRIVER_OBJECT pDriverObject
    ) {
    UNREFERENCED_PARAMETER(pDriverObject);

    PAGED_CODE();

    NTSTATUS status = CmUnRegisterCallback(g_Cookie);
    if (!NT_SUCCESS(status)) {
        DbgPrint("[RegistryFilter] Failed to unregister callback\n");
    }

    DbgPrint("[RegistryFilter] Driver unloaded successfully\n");
}

NTSTATUS 
DriverEntry(
    _In_ PDRIVER_OBJECT pDriverObject, 
    _In_ PUNICODE_STRING pRegistryPath
    ) {
    UNREFERENCED_PARAMETER(pRegistryPath);

    pDriverObject->DriverUnload = DriverUnload;

    UNICODE_STRING AltitudeString = RTL_CONSTANT_STRING(L"360000");
    NTSTATUS status = CmRegisterCallbackEx(DriverRegistryCallback, &AltitudeString, pDriverObject, NULL, &g_Cookie, NULL);
    if (!NT_SUCCESS(status)) {
        DbgPrint("[RegistryFilter] Failed to register callback\n");

        return status;
    }

    DbgPrint("[RegistryFilter] Driver loaded successfully\n");

    return status;
}

请记住，这不是您的最终解决方案。正如我之前提到的，您需要编写自己的逻辑，通过将返回的数据与您自己的静态数据进行比较来拒绝对某个调用的访问，然后返回 STATUS_ACCESS_DENIED ，或者更改保存值的数据结构，然后把它传回来。您必须知道，如果您希望更改任何 Open* 事件，则需要先处理 Create* 事件。因为任何 Open* 事件之前都必须先有一个 Create* 事件。

顺便说一句，SSDT 并不是一个更好的解决方案，因为索引会从 Windows 版本更改为另一个版本，并且从一个 Service Pack 更改为另一个 Service Pack。一般来说，它是不可靠的，至少对于这个简单的任务不推荐。更不用说在 x64 架构上运行它会遇到问题。

编辑：我忘记提及这只能从 Vista+ 开始工作，因此要在 Windows XP 上工作，需要进行某些更改，因为注册表结构名称以及注册表事件名称都会更改。

这里还有一些可以帮助您入门的链接：
- CmRegisterCallbackEx (https://msdn .microsoft.com/en-us/library/windows/hardware/ff541921(v=vs.85).aspx)
- Windows WDK CmRegisterCallbackEx 代码示例 (https://github.com/ Microsoft/Windows-driver-samples/tree/master/general/registry)