OD SOD TP的那些事儿 非法调试

所梦

1. SDO年久失修~~被TP爆非法调试~
   
2. 
   
3. //OD SOD TP的那些事儿
   
4. //恢复SOD的NtOpenThread SSDThook，不然tp爆非法调试
   
5. //然后这里接管这个函数的过滤
   
6. 
   
7. NTSTATUS __stdcall NewNtOpenThread(
   
8.         OUT PHANDLE             ThreadHandle,
   
9.         IN ACCESS_MASK          AccessMask,
   
10.         IN PVOID                           ObjectAttributes,
    
11.         IN PCLIENT_ID           ClientId
    
12.         )
    
13. {
    
14.         PETHREAD EThread;
    
15.         PEPROCESS EProcess;
    
16.         NTSTATUS status;
    
17.         ZWOPENTHREAD OldZwOpenThread;
    
18.         ULONG ulPage;
    
19. 
    
20.         __asm{
    
21.                 push eax
    
22.                 mov eax,[ebp+4]
    
23.                 mov ulPage,eax
    
24.                 pop eax
    
25.         }
    
26.         //tp的菊花痒，非得用原始KeServiceDescriptorTable里面的函数，经过tp的钩子，才不报非法调试
    
27.         OldZwOpenThread = KeServiceDescriptorTable->ServiceTable[ZwOpenThreadIndex];
    
28. 
    
29.         //让OD能XXXXXX
    
30.         if (IsFromDebugProcess(RPsGetCurrentProcess()))
    
31.         {
    
32.                 OldZwOpenThread = OriginalServiceDescriptorTable->ServiceTable[ZwOpenThreadIndex];
    
33.         }
    
34.         status = OldZwOpenThread(
    
35.                 ThreadHandle,
    
36.                 AccessMask,
    
37.                 ObjectAttributes,
    
38.                 ClientId
    
39.                 );
    
40.         if (NT_SUCCESS(status))
    
41.         {
    
42.                 //如果是自己的驱动调用，则返回哦
    
43.                 if (ulPage >= ulMyDriverBase && ulPage <= ulMyDriverBase+ulMyDriverSize){
    
44.                         return status;
    
45.                 }
    
46.                 //好像这里的判断是多余的~
    
47.                 if (KeGetCurrentIrql() != PASSIVE_LEVEL){
    
48.                         return status;
    
49.                 }
    
50.                 //如果退出了
    
51.                 if (!bIsInitSuccess){
    
52.                         return status;
    
53.                 }
    
54.                 //如果没有保护
    
55.                 if (!bProtectProcess){
    
56.                         return status;
    
57.                 }
    
58.                 //过滤掉桌面进程以及csrss进程
    
59.                 if (_stricmp(PsGetProcessImageFileName(RPsGetCurrentProcess()),"explorer.exe") == 0 ||
    
60.                         RPsGetCurrentProcess() == CsrssEProcess)
    
61.                 {
    
62.                         return status;
    
63.                 }
    
64.                 //get ethread
    
65.                 status = ObReferenceObjectByHandle(
    
66.                         ThreadHandle,
    
67.                         THREAD_ALL_ACCESS,
    
68.                         *PsThreadType,
    
69.                         KernelMode,
    
70.                         (PVOID*)&EThread,
    
71.                         NULL
    
72.                         );
    
73.                 if (NT_SUCCESS(status))
    
74.                 {
    
75.                         ObDereferenceObject(EThread);
    
76.                         //get eprocess
    
77.                         EProcess = IoThreadToProcess(EThread);
    
78. 
    
79.                         if (IsFromDebugProcess(EProcess))
    
80.                         {
    
81.                                 if (DebugOn)
    
82.                                         KdPrint(("open OD Thread by %s\n",PsGetProcessImageFileName(RPsGetCurrentProcess())));
    
83.                                 return STATUS_ACCESS_DENIED;
    
84.                         }
    
85.                 }
    
86.                 status = STATUS_SUCCESS;
    
87.         }
    
88.         return status;
    
89. }
    

复制代码