进程创建通知回调通知例程的学习笔记
转⾃：⼩⼑志
在 Windows 操作系统中可以通过 PsSetCreateProcessNotifyRoutine 函数注册或移除⼀个进程创建通知回调例程。在 Vista 以及之后的版本中，微软加⼊ PsSetCreateProcessNotifyRoutineEx 新的函数来注册创建进程通知。通过判断系统版本来对应不同的操作系统调⽤不同的注册函数。
⽽在 Vista 之前的系统版本（如 Windows XP）中由于没有 PsSetCreateProcessNotifyRoutineEx 这个函数，会驱动加载的时候导致加载失败。那么通过 MmGetSystemRoutineAddress 函数可以动态地获取 PsSetCreateProcessNotifyRoutineEx 函数。
typedef
NTSTATUS (_stdcall *PPsSetCreateProcessNotifyRoutineEx)(
IN PCREATE_PROCESS_NOTIFY_ROUTINE_EX NotifyRoutine,
IN BOOLEAN Remove
);
PPsSetCreateProcessNotifyRoutineEx g_pPsSetCreateProcessNotifyRoutineEx = NULL;
BOOLEAN g_bSucReg = FALSE;
BOOLEAN g_bUdEx = FALSE;
NTSTATUS
SetProcessCallBack ()
{
NTSTATUS nStatus = STATUS_UNSUCCESSFUL;
do
时间管理表{
UNICODE_STRING uFuncName = {0};
RtlInitUnicodeString(&uFuncName,L"PsSetCreateProcessNotifyRoutineEx");
g_pPsSetCreateProcessNotifyRoutineEx = (PPsSetCreateProcessNotifyRoutineEx)MmGetSystemRoutineAddress(&uFuncName);
if( g_pPsSetCreateProcessNotifyRoutineEx == NULL )
{
break;
}
if( STATUS_SUCCESS != g_pPsSetCreateProcessNotifyRoutineEx(CreateProcessNotifyEx,FALSE) )
{
break;
}
g_bSucReg = TRUE;
g_bUdEx = TRUE;
nStatus = STATUS_SUCCESS;
} while (FALSE);
do
{
if ( TRUE == g_bUdEx )
{
break;
}
if( STATUS_SUCCESS != PsSetCreateProcessNotifyRoutine(CreateProcessNotify,FALSE) )
{
break;
}
g_bSucReg = TRUE;
g_bUdEx = FALSE;
nStatus = STATUS_SUCCESS;
暗箱操作的意思} while (FALSE);
return nStatus;
}
通知例程处理函数也需要同时配套地使⽤新的 CreateProcessNotifyEx 函数定义格式和函数体。与旧版本 CreateProcessNotify 通过 BOOLEAN Create 参数判
断是创建还是销毁进程不同的是，CreateProcessNotifyEx 是通过参数中指向 PS_CREATE_NOTIFY_INFO 类型的结构体指针 PPS_CREATE_NOTIFY_INFO CreateInfo 来进⾏判
断。占有善良的情人
VOID
CreateProcessNotifyEx (
__inout PEPROCESS Process,
__in HANDLE ProcessId,
__in_opt PPS_CREATE_NOTIFY_INFO CreateInfo
)
{
HANDLE hCurrentThreadID = NULL;
hCurrentThreadID = PsGetCurrentThreadId();
if( CreateInfo == NULL )
{
DbgPrint("进程销毁: %08X %08X\n", ProcessId, hCurrentThreadID);
return;
}
DbgPrint("进程创建: %08X %08X\n", ProcessId, hCurrentThreadID);
return;
}
打包菜VOID
CreateProcessNotify (
IN HANDLE ParentId,
IN HANDLE ProcessId,
IN BOOLEAN Create
)
{
HANDLE hCurrentThreadID = NULL;
hCurrentThreadID = PsGetCurrentThreadId();
if( !Create )
{
DbgPrint("进程销毁: %08X %08X\n", ProcessId, hCurrentThreadID);
return;
}
DbgPrint("进程创建: %08X %08X\n", ProcessId, hCurrentThreadID);
return;
}
PS_CREATE_NOTIFY_INFO 结构体类型定义如下：
typedef struct _PS_CREATE_NOTIFY_INFO {
SIZE_T Size;
union {
ULONG Flags;
struct {
ULONG FileOpenNameAvailable :1;
ULONG Rerved :31;
编写程序的软件};
};
高收益理财产品
HANDLE ParentProcessId;
CLIENT_ID CreatingThreadId;
struct _FILE_OBJECT *FileObject;
PCUNICODE_STRING ImageFileName;
PCUNICODE_STRING CommandLine;春节诗词
NTSTATUS CreationStatus;
} PS_CREATE_NOTIFY_INFO, *PPS_CREATE_NOTIFY_INFO;
如果为创建进程，则该参数指针指向该结构体的⼀个结构体对象，可通过该对象获得线程ID、⽗进程ID、⽂件对象、映像⽂件名、命令⾏字符串等进程信息；⽽如果是销毁进程，则该参数指针指向 NULL。
编译驱动程序并在虚拟机系统中进⾏调试。调试过程中发现PsSetCreateProcessNotifyRoutineEx 调
⽤失败，返回值为STATUS_ACCESS_DENIED 即0xC00000CC 错误码。WDK 解释为是由于⽣成的驱动程序⽂件PE 头中没有被设置IMAGE_DLLCHARACTERISTICS_FORCE_INTEGRITY 标志导致。
操作系统通过内核函数MmVerifyCallbackFunction 对加载完成的驱动进⾏完整性校验标志位的检测，该标志位未被置位的驱动模块会被禁⽌使⽤某些函数，如上⾯提到的 PsSetCreateProcessNotifyRoutineEx。
通过反汇编发现，在PsSetCreateProcessNotifyRoutineEx 中调⽤PspSetCreateProcessNotifyRoutine 函数，在其中通过调⽤MmVerifyCallbackFunction 对驱动的完整性校验标志位进⾏检查，检查失败时则会使当前函数返回 0xC00000CC 错误码。
解决⽅法是在 sources ⽂件中加⼊⼀⾏：LINKER_FLAGS=/INTEGRITYCHECK 以开启驱动程序的完
整性校验，这个⽅法适⽤于通过 WDK 编译器编译环境进⾏编译的情况。如果是通过VisualStudio ⾃⾝编译器作为交叉编译⼯具链，则需在“项⽬-属性-链接器-命令⾏”位置添加/INTEGRITYCHECK 即可。
这时候再进⾏测试运⾏，会发现在 Windows 7 的⾮测试模式的环境下驱动程序会加载失败。查阅资料发现是由于 INTEGRITYCHECK 标志导致强制进⾏驱动签名校验的问题；⽽在测试模式系统环境下不进⾏签名校验，所以会成功加载。
在32 位版本的Windows 7 环境中，驱动程序加载时操作系统根据PE ⽂件头部对应的Flags 域的值判断是否置位INTEGRITYCHECK 标志位，并根据判断的结果来决定是否要进⾏代码签名校验操作，在这⾥签名校验操作并⾮强制性的。
然⽽需要注意的是，在 64 位版 Windows 7 系统中，驱动程序加载时的安全性检查机制有所不同。微软为 Windows Vista 及后续版本的操作系统的 x64 位版本加强了驱动程序的安全性校验机制，编译⽣成的驱动程序⽂件的 PE 头部对应的 Flags 标志位⽆论是否已置位 INTEGRITYCHECK(0x20) 标志位，在驱动程序加载时都会执⾏签名校验的操作。
所以在 64 位版本的操作系统中的⾮测试模式或调试模式环境下，如果需要加载编译⽣成的驱动程序，那么⼀定需要通过代码签名证书对驱动程序进⾏交叉签名。
⽬前的问题是：
西游记第五回1. 如果将驱动⽂件的 INTEGRITYCHECK 标志位置位，驱动加载的时候会强制对⽂件签名进⾏校验，⽆签名或签名⽆效的驱动会被
禁⽌加载.
2. ⽽如果不将 INTEGRITYCHECK 标志位置位，MmVerifyCallbackFunction 校验函数会造成部分内核函数的调⽤失败。
这样的话就需要找到⼀种既能使驱动成功加载、⼜能绕过完整性校验标志位检测的⽅法。
⾸先，移除上⽂中在 source ⽂件中添加的 LINKER_FLAGS=/INTEGRITYCHECK 这⾏，然后将以下代码放置在 DriverEntry 函数中。
PLDR_DATA_TABLE_ENTRY ldr;
ldr = (PLDR_DATA_TABLE_ENTRY)DriverObject->DriverSection;
ldr->Flags |= 0x20;
这⾥的 PLDR_DATA_TABLE_ENTRY 需要⾃⾏定义，根据系统版本和位数的不同可能会有差异。在实际应⽤中可以使⽤以下定义：
typedef struct _LDR_DATA // 24 elements, 0xE0 bytes (sizeof)
{
struct _LIST_ENTRY InLoadOrderLinks; // 2 elements, 0x10 bytes (sizeof)
struct _LIST_ENTRY InMemoryOrderLinks; // 2 elements, 0x10 bytes (sizeof)
struct _LIST_ENTRY InInitializationOrderLinks; // 2 elements, 0x10 bytes (sizeof)
VOID* DllBa;
VOID* EntryPoint;
ULONG32 SizeOfImage;
#ifdef _WIN64
UINT8 _PADDING0_[0x4];
#endif
struct _UNICODE_STRING FullDllName; // 3 elements, 0x10 bytes (sizeof)
struct _UNICODE_STRING BaDllName; // 3 elements, 0x10 bytes (sizeof)
ULONG32 Flags;
}LDR_DATA, *PLDR_DATA;
⾄于该结构体的完整定义可通过 WinDbg 命令 dt nt!_LDR_DATA_TABLE_ENTRY 在对应的系统中查看。
⾄于MmVerifyCallbackFunction 具体执⾏了那些操作，我们该怎么绕过其驱动程序强制签名校验？在下⼀篇⽂章中将尝试做⼀个简单的分析。
