Ring3 Hook技术实战：隐藏进程的ZwQuerySystemInformation-CSDN博客

本文链接：https://blog.csdn.net/weixin_33622085/article/details/147993759

简介：本技术应用介绍了Ring3 Hook技术，通过拦截系统调用ZwQuerySystemInformation实现隐藏进程的功能。详细阐述了在Windows XP系统中，如何在用户模式下通过选择Hook点、实现Hook机制、编写钩子函数、处理返回值，并考虑了安全性和兼容性问题。该技术虽有潜在的合法应用场景，但应谨慎使用，避免涉及非法活动。压缩包“HideProcess”可能包含实现该功能的代码和相关资源，帮助开发者深入理解并应用此项技术。 Ring3 Hook ZwQuerySystemInformation

1. Ring3 Hook技术介绍

在探讨恶意软件和系统监控技术的领域，Ring3 Hook技术以其在非内核级权限下的灵活性和强大的应用潜力而受到关注。本章节将对Ring3 Hook技术做一个基础的介绍，包括其定义、特点以及技术应用场景。

1.1 Ring3 Hook技术的定义

Ring3 Hook，又称用户态钩子，是指在操作系统的用户级权限下对系统或应用程序的行为进行拦截的技术。通过对目标进程函数调用的钩挂，可以在不改变原程序代码的情况下，对程序的行为进行监控、记录甚至是改变原有逻辑。与内核级钩子相比，Ring3钩子具有较低的风险和相对简单的实现过程。

1.2 Ring3 Hook的特点

Ring3 Hook技术的特点主要包括： - 易于实现 ：在用户态下操作，不需要复杂的驱动编程和内核级权限。 - 安全风险较低 ：通常不会对系统稳定性造成影响，相对更安全。 - 兼容性问题较少 ：由于运行在用户态，兼容性问题相对容易处理。

1.3 技术应用场景

Ring3 Hook技术主要应用于： - 软件开发 ：用于程序调试、功能增强或测试等。 - 系统监控 ：监控系统行为，如按键记录、屏幕捕获等。 - 安全防护 ：恶意软件检测和防护。

本文接下来将深入探讨Ring3 Hook技术在系统调用方面的应用，并详细分析ZwQuerySystemInformation的使用和其它系统调用的比较，进一步深化对Ring3 Hook技术的理解。

2. ZwQuerySystemInformation系统调用概述

2.1 系统调用的基本概念和作用

系统调用是操作系统提供给用户程序的一组“特殊”程序调用接口，它允许用户程序请求内核提供特定的服务。在Windows操作系统中，这通常意味着用户模式的应用程序需要请求内核模式的驱动程序来执行一些受限的操作。系统调用是现代操作系统安全机制的关键部分，它允许操作系统对资源访问进行控制和审核。

系统调用的主要作用包括：

管理进程信息：如进程创建、结束、查询等。
管理内存：包括分配、释放、锁定等操作。
管理文件系统：文件的创建、打开、读写等。
管理设备输入输出：控制硬件设备与系统之间的通信。

在Windows中，系统调用通常通过一个名为Native API的接口暴露给开发人员，而 ZwQuerySystemInformation 正是Native API中的一个重要成员。

2.2 ZwQuerySystemInformation的功能和应用场景

ZwQuerySystemInformation 是Windows操作系统中一个非常强大的系统调用，它允许程序检索有关系统状态的信息。具体功能包括但不限于：

进程信息的查询：获取系统中当前运行的进程列表。
系统性能数据的获取：如处理器时间、内存使用情况等。
系统配置信息的查询：如系统上安装的驱动程序列表。
安全相关的数据：如审计策略、登录会话等。

ZwQuerySystemInformation 的主要应用场景包括：

系统监控工具：用于监控和报告系统状态和性能。
安全软件：检测可疑进程、监控系统文件变化等。
调试工具：开发者需要调试系统级别的问题时使用。
高级系统管理任务：在系统自动化和管理中获取系统信息。

2.3 ZwQuerySystemInformation与其它系统调用的比较

在Windows系统中，除了 ZwQuerySystemInformation 外，还有许多其他的系统调用，如 ZwEnumerateValueKey 、 ZwQueryValueKey 等，它们各自承担着不同的功能。 ZwQuerySystemInformation 比较突出的特点是其提供的信息范围广泛，能够提供整个系统的概况信息。

对于信息收集的粒度和范围， ZwQuerySystemInformation 能够提供宽泛的系统级信息，而 ZwEnumerateValueKey 主要用于枚举注册表中某一键的值。在性能监控方面，虽然 ZwQuerySystemInformation 可以获取性能数据，但更专业的系统调用如 NtQuerySystemInformation 在某些情况下可能更为合适。

比较系统调用时，需要考虑如下因素：

信息的粒度和类型。
请求信息的效率和对系统资源的影响。
对用户权限的要求。

通常，开发者需要根据实际需求选择合适的系统调用，以达到最优的性能和效率。

在本节中，我们了解了系统调用的概念、作用以及 ZwQuerySystemInformation 的功能和应用场景。对于系统开发者来说，掌握这些信息是构建高效、安全的应用程序和工具的基础。

接下来，我们将进入 ZwQuerySystemInformation 的深入探讨，了解其如何在实际的系统监控和安全工具中被应用。

3. Hook点的选择和实现

Hook技术在系统级编程与应用中扮演着至关重要的角色，它允许开发者在不修改目标代码的情况下，干预程序的执行流程。本章节将深入探讨如何选择合适的Hook点，以及实现这些Hook点的具体方法和步骤。

3.1 Hook点的分类和特点

在系统调用和API层面，Hook点可以分为多种类型，每种类型的Hook点都有其特定的应用场景和优势。

I. 系统调用级的Hook点

这类Hook点位于操作系统内核的系统调用层面，能够拦截所有的系统调用请求。其特点包括：

高效性 ：由于在系统调用层操作，因此效率较高。
风险高 ：操作不当可能导致系统稳定性问题。
兼容性要求高 ：需要对不同版本的操作系统进行适配。

II. API级的Hook点

API级的Hook点拦截的是应用程序中的API函数调用，它们通常更容易实现，并且比系统调用级的Hook点风险更低。

易用性 ：大多数API级Hook框架提供了较为方便的接口。
应用广泛 ：适合大部分应用程序的Hook需求。
稳定性 ：相比于系统调用级Hook，API级Hook点的稳定性更好。

III. 代码级的Hook点

代码级的Hook点是最灵活的，它可以直接修改目标程序的源代码或二进制代码。

灵活性高 ：可以直接操作代码，自定义Hook逻辑。
维护难度大 ：需要与目标程序的代码版本保持同步。
侵入性强 ：可能会破坏程序的结构和功能。

3.2 如何选择合适的Hook点

选择合适的Hook点是实现Hook技术的关键步骤，下面将介绍选择Hook点时需要考虑的因素。

I. 稳定性

稳定性是选择Hook点时首要考虑的因素。优先选择那些在软件更新过程中不容易发生变化的Hook点。例如，在API级中选择广泛使用的公共API而非私有API。

II. 兼容性

兼容性也是选择Hook点的重要参考标准。选择那些在不同操作系统版本和环境中表现一致的Hook点，可以确保Hook技术在不同环境中的有效性和稳定性。

III. 安全性

安全风险是使用Hook技术时必须考虑的。对于需要长期运行或具有高安全需求的应用，选择风险较小的Hook点是至关重要的。

IV. 性能影响

在某些情况下，Hook点的选择会影响系统性能。选择那些对系统性能影响较小的Hook点，可以在不明显降低系统性能的前提下实现所需功能。

3.3 实现Hook点的具体方法和步骤

在本小节中，我们将通过一个简单的例子，介绍如何实现API级的Hook点。

I. 使用Microsoft Detours库实现Hook

Microsoft Detours是一个广泛使用的Hook库，可以很容易地实现在Windows平台下的API级Hook。下面是使用Detours实现Hook的步骤。

安装Detours库

首先需要在你的项目中包含Detours库。可以通过NuGet包管理器安装，或者直接将Detours源代码包含在项目中。

选择Hook点

选择一个合适的API函数作为Hook点，例如 MessageBoxW 函数。

编写目标函数和拦截函数

创建你希望在API调用前后执行的代码（目标函数），以及替换原有的API函数的新函数（拦截函数）。

设置拦截

使用Detours提供的函数来拦截API调用。

#include <windows.h>
#include <detours.h>
#include <iostream>

// 原始的MessageBoxW函数指针
static int (WINAPI *TrueMessageBoxW)(HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType) = MessageBoxW;

// 拦截函数
int WINAPI DetouredMessageBoxW(HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType) {
    // 在这里添加你的代码
    std::wcout << L"MessageBoxW is called with: " << lpText << L", " << lpCaption << std::endl;

    // 调用原始的MessageBoxW函数
    return TrueMessageBoxW(hWnd, lpText, lpCaption, uType);
}

// 程序入口函数
int main() {
    // 初始化Detours库
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());

    // 安装Hook
    DetourAttach(&(PVOID&)TrueMessageBoxW, DetouredMessageBoxW);

    // 测试Hook是否安装成功
    MessageBoxW(NULL, L"Detoured!", L"Hooked", MB_OK);

    // 卸载Hook
    DetourDetach(&(PVOID&)TrueMessageBoxW, DetouredMessageBoxW);

    DetourTransactionCommit();
    return 0;
}

编译并测试

编译你的项目并运行程序以测试Hook是否正确安装和工作。

通过上述步骤，我们可以实现一个简单的API级Hook，并对函数调用进行监控或修改。这只是Hook技术的一个示例，实际情况中可能需要根据具体需求进行更为复杂的设计和实现。

4. 不同Hook机制：IAT Hook, EAT Hook, Detouring

4.1 IAT Hook的基本原理和使用场景

IAT Hook原理

IAT Hook（Import Address Table Hooking）是通过修改Windows可执行文件的导入地址表（IAT）来实现的。导入地址表是PE（Portable Executable）文件格式的一部分，用于存储从DLL导入的函数地址。通过在运行时修改IAT中的函数指针，我们可以将原始的函数调用重定向到我们自己的函数实现上，从而实现对特定函数的拦截和修改。

IAT Hook使用场景

IAT Hook的使用场景非常广泛，包括但不限于： - 调试和逆向工程：通过IAT Hook可以轻松地拦截和分析对系统API的调用，这对于理解和调试恶意软件或者不熟悉的软件逻辑很有帮助。 - 安全防护：在某些情况下，开发者可以通过IAT Hook技术来阻止恶意代码的执行，或者监控敏感API的调用。 - 插件系统：许多软件使用IAT Hook技术来加载第三方插件，以扩展软件的功能。

代码实现及解析

#include <windows.h>
// 假设我们想hook kernel32.dll中的WriteFile函数

// 原始的WriteFile函数指针
typedef BOOL (WINAPI *WriteFilePtr)(HANDLE hFile, LPCVOID lpBuffer, DWORD nNumberOfBytesToWrite,
                                     LPDWORD lpNumberOfBytesWritten, LPOVERLAPPED lpOverlapped);

// 我们自己的WriteFile函数
BOOL WINAPI MyWriteFile(HANDLE hFile, LPCVOID lpBuffer, DWORD nNumberOfBytesToWrite,
                        LPDWORD lpNumberOfBytesWritten, LPOVERLAPPED lpOverlapped) {
    // 在此处可以执行一些自定义操作
    // ...

    // 调用原始的WriteFile函数
    return WriteFilePtr(hFile, lpBuffer, nNumberOfBytesToWrite, lpNumberOfBytesWritten, lpOverlapped);
}

// Hook实现
void HookWriteFile() {
    HMODULE hKernel32 = GetModuleHandle(L"kernel32.dll");
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)hKernel32;
    PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);
    PIMAGE_IMPORT_DESCRIPTOR pImportDesc = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)hKernel32 + pNtHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);

    while (pImportDesc->Name) {
        LPCSTR pDllName = (LPCSTR)((DWORD)hKernel32 + pImportDesc->Name);
        if (strcmp(pDllName, "kernel32.dll") == 0) {
            PIMAGE_THUNK_DATA pOriginalFirstThunk = (PIMAGE_THUNK_DATA)((DWORD)hKernel32 + pImportDesc->OriginalFirstThunk);
            PIMAGE_THUNK_DATA pFirstThunk = (PIMAGE_THUNK_DATA)((DWORD)hKernel32 + pImportDesc->FirstThunk);
            while (pFirstThunk->u1.Function) {
                if (pOriginalFirstThunk->u1.AddressOfData == GetProcAddress(GetModuleHandle(pDllName), "WriteFile")) {
                    // Hook WriteFile函数
                    pFirstThunk->u1.Function = (DWORD)MyWriteFile;
                }
                pFirstThunk++;
                pOriginalFirstThunk++;
            }
            break;
        }
        pImportDesc++;
    }
}

这段代码展示了如何通过修改IAT来Hook kernel32.dll中的WriteFile函数。首先，通过 GetModuleHandle 获取kernel32.dll的句柄，然后定位到IAT部分。通过遍历IAT，找到WriteFile函数的地址，并将其替换为指向自定义函数 MyWriteFile 的指针。

4.2 EAT Hook的优势和限制

EAT Hook原理

EAT Hook（Export Address Table Hooking）是对动态链接库（DLL）的导出地址表（EAT）进行操作的一种Hook技术。EAT表包含了DLL导出的所有函数地址，通过修改这些地址，我们可以将原始的导出函数替换为自己的函数实现。

EAT Hook的优势

效率高 ：EAT Hook通常只修改一次，之后任何使用该函数的调用都会被拦截。
兼容性好 ：EAT Hook与IAT Hook相比，在某些情况下对程序的兼容性影响更小。
易于实现 ：在某些情况下，直接修改EAT表比操作IAT表要简单。

EAT Hook的限制

安全性问题 ：直接修改EAT表可能会被安全软件识别为恶意行为，尤其是如果修改的是系统DLL。
需要DLL ：EAT Hook通常需要将自己的代码包装在一个DLL中，这在某些环境中可能不太方便。

代码实现及解析

#include <windows.h>

// 假设我们要hook user32.dll中的MessageBoxW函数
typedef int (WINAPI *MessageBoxWPtr)(HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType);

// 我们的hook函数
int WINAPI MyMessageBoxW(HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType) {
    // 可以在这里执行自定义操作
    // ...

    // 调用原始的MessageBoxW函数
    return MessageBoxWPtr(hWnd, lpText, lpCaption, uType);
}

// Hook实现
void HookMessageBoxW() {
    HMODULE hUser32 = LoadLibrary(L"user32.dll");
    PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)hUser32 + ((PIMAGE_DOS_HEADER)hUser32)->e_lfanew);
    DWORD exportDirRVA = pNtHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress;
    DWORD exportDirSize = pNtHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].Size;

    PIMAGE_EXPORT_DIRECTORY pExportDir = (PIMAGE_EXPORT_DIRECTORY)((DWORD)hUser32 + exportDirRVA);
    DWORD* nameRVAs = (DWORD*)((DWORD)hUser32 + pExportDir->AddressOfNames);
    DWORD* nameRefs = (DWORD*)((DWORD)hUser32 + pExportDir->AddressOfNameOrdinals);
    DWORD* funcRefs = (DWORD*)((DWORD)hUser32 + pExportDir->AddressOfFunctions);

    for (DWORD i = 0; i < pExportDir->NumberOfNames; i++) {
        if (strcmp("MessageBoxW", (LPCSTR)((DWORD)hUser32 + nameRVAs[i])) == 0) {
            // 找到了MessageBoxW函数的序号
            DWORD index = nameRefs[i];
            // 修改MessageBoxW的函数地址为我们的MyMessageBoxW函数
            funcRefs[index] = (DWORD)MyMessageBoxW - (DWORD)hUser32 + (DWORD)&funcRefs[index];
            break;
        }
    }
}

以上代码片段说明了如何通过修改EAT来Hook user32.dll中的MessageBoxW函数。首先，使用 LoadLibrary 加载user32.dll，并获取其映像头信息。然后，遍历导出函数表（EAT），找到MessageBoxW函数对应的序号，并更新其函数地址为我们的自定义实现 MyMessageBoxW 。

4.3 Detouring技术详解

Detouring原理

Detouring是一种高级的Hook技术，它通过创建一个跳转函数来重定向原始函数的调用。这种技术通常由专门的库（如Microsoft Detours）提供支持，能够实现对函数调用的无痕迹替换，即不会改变原始函数的内存布局。

Detouring优势

无痕迹替换 ：Detouring可以在不改变原始函数代码的情况下完成Hook。
稳定性和兼容性 ：Detouring通常更加稳定，因为它不会修改原始的二进制代码，因此对程序的兼容性影响较小。
支持多线程 ：Detouring库通常已经解决了多线程环境下的同步问题，使用起来更加方便。

Detouring限制

依赖第三方库 ：实现Detouring需要依赖特定的第三方库，如Microsoft Detours或EasyHook。
复杂度 ：Detouring的实现细节相对复杂，需要对底层细节有足够的理解。

代码实现及解析

#include <detours.h>

// 假设我们要hook ntdll.dll中的NtQuerySystemInformation函数
void NTAPI MyNtQuerySystemInformation(
    SYSTEM_INFORMATION_CLASS SystemInformationClass,
    PVOID SystemInformation,
    ULONG SystemInformationLength,
    PULONG ReturnLength
) {
    // 在这里可以执行自定义操作
    // ...

    // 调用原始的NtQuerySystemInformation函数
    RealNtQuerySystemInformation(
        SystemInformationClass,
        SystemInformation,
        SystemInformationLength,
        ReturnLength
    );
}

// Hook实现
void InstallHook() {
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());
    DetourAttach(&(PVOID&)NtQuerySystemInformation, MyNtQuerySystemInformation);
    DetourTransactionCommit();
}

void RemoveHook() {
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());
    DetourDetach(&(PVOID&)NtQuerySystemInformation, MyNtQuerySystemInformation);
    DetourTransactionCommit();
}

在这个例子中，使用了Microsoft Detours库来hook ntdll.dll中的NtQuerySystemInformation函数。 InstallHook 函数首先开始一个事务，然后将NtQuerySystemInformation函数重定向到我们的 MyNtQuerySystemInformation 实现。 RemoveHook 函数则移除之前设置的Hook。

Detouring技术的主要优点在于其稳定性和对多线程程序的良好支持。然而，需要指出的是，这种技术主要适用于32位的Windows系统，并且依赖于Microsoft Detours库的支持。对于其他系统或者需要跨平台的应用，可能需要寻找或者开发其他的解决方案。

总结

在本章中，我们深入探讨了三种不同的Hook技术：IAT Hook、EAT Hook和Detouring。每种技术都有其特定的使用场景和适用条件。IAT Hook适用于修改导入函数，EAT Hook则适用于修改导出函数，而Detouring则提供了一种更高级、更为稳定和安全的Hook方法。在选择使用哪种技术时，需要考虑到目标程序的结构、安全需求以及开发者的熟悉程度。

在下一章中，我们将继续深入探讨Ring3 Hook技术在编写钩子函数和自定义功能添加方面的实践和技巧。

5. 钩子函数的编写与自定义功能添加

5.1 钩子函数的基本结构和工作原理

在Windows编程中，钩子函数是用于拦截系统或应用程序消息处理的函数。其基本结构通常包括一个固定签名的回调函数和一个用于设置钩子的API调用。工作原理是通过系统提供的接口（如 SetWindowsHookEx ）将自定义的钩子函数注入到系统消息流程中，以实现对消息的拦截和处理。

下面是一个简单的钩子函数示例，展示了如何定义和安装一个键盘钩子：

#include <windows.h>

// 定义钩子回调函数
LRESULT CALLBACK KeyboardProc(int nCode, WPARAM wParam, LPARAM lParam) {
    // 处理键盘消息
    if (nCode >= 0) {
        // 此处可以根据wParam判断消息类型，例如处理按键消息
    }
    // 调用CallNextHookEx，将消息传递给下一个钩子函数
    return CallNextHookEx(NULL, nCode, wParam, lParam);
}

// 安装钩子
HHOOK hHook = SetWindowsHookEx(WH_KEYBOARD_LL, KeyboardProc, NULL, 0);

5.2 如何在钩子函数中添加自定义功能

要在钩子函数中添加自定义功能，需要在钩子回调函数中加入相应的代码逻辑。这部分代码会根据应用程序或系统消息的特定情况执行一些额外的操作，比如记录日志、修改消息参数或执行某些条件判断。

示例代码中，我们可以在 KeyboardProc 函数中加入按键记录逻辑：

// 定义一个全局变量用于存储按键信息
char szBuffer[128] = {0};
int iIndex = 0;

LRESULT CALLBACK KeyboardProc(int nCode, WPARAM wParam, LPARAM lParam) {
    // 检查消息处理是否有效，并处理WM_KEYDOWN消息
    if (nCode >= 0 && wParam == VK_F1) {
        // 当按下F1键时，将按键信息保存到缓冲区
        szBuffer[iIndex++] = 'F';
        szBuffer[iIndex++] = '1';
        szBuffer[iIndex++] = '\n';
        szBuffer[iIndex] = '\0';
    }
    // 将消息传递给下一个钩子
    return CallNextHookEx(NULL, nCode, wParam, lParam);
}

5.3 钩子函数的测试和验证方法

钩子函数的测试和验证是一个重要步骤，以确保其正确性和稳定性。可以通过多种方法来进行测试，例如使用调试工具进行单步跟踪、使用日志记录钩子执行情况，或创建一个独立的测试应用程序来触发钩子。

一种常见的测试方法是使用日志输出来验证钩子是否被正确触发：

// 在钩子函数中添加日志输出代码
OutputDebugString(TEXT("Keyboard hook triggered.\n"));

// 在测试程序中使用Spy++工具监视键盘消息
// 或者
// 使用文本文件记录日志
FILE *pFile = fopen("hook.log", "a");
if (pFile != NULL) {
    fprintf(pFile, "%s", szBuffer);
    fclose(pFile);
}

通过这种方式，可以清晰地看到钩子函数的触发情况以及按键记录是否按预期工作。测试和验证应该在不同的场景下重复进行，确保钩子函数在各种条件下都能正常工作。

本文还有配套的精品资源，点击获取