码演示参考资料

Call在进行系统调用、线程切换、中断、异常时会进行触发执行的一段代码其中主要分为内核APC与用户APC故名思意内核APC在执行时APC的代码在内核用户APC在执行时代码在用户层。

APC是依赖于线程的所以在线程的KTHREAD中可以找到关于APC的所有相关信息

因为APC的插入会调用KeInsertQueueApc我们逆向分析这个函数即可

插入过程很简单KeInsertQueueApc其实是在判断APC队列是否禁用或APC是否插入对应的WRK代码如下

继续跟入KiInsertQueueApc其中也是根据各种APC模式来进行插入位置的选择

APC执行调用的是KiDeliverApc函数其中会先执行KernelRoutine中的代码如果NormalRoutine不为空则调用KiInitializeUserApc对用户APC进行初始化操作

KiInitializeUserApc通过KeContextFromKframes将KTRAP_FRAME保存一份以便后续返回使用

修改EIP使其跳转到三环的KeUserApcDispatcher执行用户的APC代码

以上分析对应的WRK代码如下也可以看出先执行KernelRoutine后执行NormalRoutine

执行过程主要是先执行参数的KernelRoutine的代码如果有NormalRoutine则跳到三环去遍历执行再回到内核以此往复将链表中的所有APC执行完毕

代码演示

(1){SleepEx(30000,FALSE);printf(qqqqqqqqqqqq\n);}

}驱动头文件“test.h”

{OriginalApcEnvironment,AttachedApcEnvironment,CurrentApcEnvironment,InsertApcEnvironment

PRKAPC

{DbgPrint(--------------DRIVER_UNLOAD-----------------);

}VOID

[db]:---------kernelRoutineFunc

pid

PsGetCurrentProcessId());DbgPrintEx(77,

[db]:kernelRoutineFunc\r\n);ULONG64

addr

0x401000;PsWrapApcWow64Thread(NULL,

addr);*NormalRoutine

NULL;PsLookupThreadByThreadId(2632,

eThread,

OriginalApcEnvironment,kernelRoutineFunc,

NULL,

(PVOID)1);DbgBreakPoint();*(PCHAR)((PCHAR)eThread

0x4c)

(!is){ExFreePool(pApc);}KeAlertThread(eThread,

UserMode);pDriverObject-DriverUnload

DriverUnload;return

}驱动代码中主要有两个新鲜的函数PsWrapApcWow64Thread与KeAlertThread

PsWrapApcWow64Thread为了将32位的地址进行转换到64位进行使用这样驱动就可以直接在64位下进行插入如果读者想修改成32位可以把这个函数删除并将eThread

0x4c改为eThread

https://www.cnblogs.com/sanyimitian/p/14219541.html

https://blog.csdn.net/hongduilanjun/article/details/126850904

火哥视频