Windows 에서 BOOL 형 과 BOOLEAN 형은 TRUE, FALSE를 구별하는 변수의 타입으로 사용되지만 서로 약간의 차이점이 존재합니다.
그것은 아래와 같이 선언됨에 따라서 BOOLEAN 으로 선언한 변수의 크기는 1바이트이며, BOOL 은 4바이트(32bit 시스템에서) 인 점입니다.

일반적으로 프로그래밍을 할 경우에, 이 둘을 별로 구별하지 않고 사용하게 되는데요. 하지만 후킹(함수 포인터 변경 방식)을 하는 경우 원본 함수를 호출하려 할때 정확하지 않은 함수 인자를(즉, 사이즈가 다른) 사용하면 때때로 에러(ERROR_INVALID_PARAMETER)로 리턴 되는 경우가 있어 주의가 필요합니다.

특히, Windows 의 Undocument API 를 후킹하고자 할 때는 함수 프로토타입을 알수가 없어서 정확한 함수 인자를 알기가 어렵습니다.
이러한 Undocument API 함수의 프로토타입은 http://undocumented.ntinternals.net/ 와 Windows NT/2000 NATIVE API Reference 책을 참조하는게 보통입니다.

하지만 오늘 위 두 곳에서 정의한 함수 프로토타입이 틀릴 수도 있으므로 주의가 필요함을 알았습니다.

1. 우선 아래와 같은 함수를 확인하실 수 있습니다.
위 함수를 보시면 인자의 총 바이트 수는 47바이트(4Byte * 11 + 1Byte * 3) 입니다.
실제로 그런지 확인해 보겠습니다.

2. XP 에서 NtCreateNamedPipeFIle 의 SDT 의 인덱스는 2C 입니다.

3. SDT(Service Descriptor Table)은 아래와 같이 4개의 멤버를 가지고 있습니다.
이중 4번째 인자는 각 함수별 인자에 대한 정보가 있는 곳입니다.

4. 아래와 같이 SDT 에서 System Service Parameter Table Address 가 있는 위치를 확인합니다. 흠.. 0x80519fc4 네요

5. 각 함수의 인자 값을 확인해면 아래와 같습니다.
NtCreateNamedPipeFile 의 위치(인덱스)가 2C (십진수로 44) 인 곳을 확인해 보면 함수 인자의 총 합이 38 (십진수로 56) 임을 확인 할 수 있습니다.
즉, 함수 선언에 있는 것처럼 인자의 총 합이 47바이트(4Byte * 11 + 1Byte * 3) 가 아니라 56 바이트(통상 4Byte * 14) 이어야 합니다.
즉, BOOLEAN 형의 인자 세개가 잘못 된 것이며, 4Byte 타입으로 선언해야 합니다.

이러한 함수를 몇개 더 확인해 본 결과, 함수 선언중 BOOLEAN 인자로 되어 있는것은 전부 이렇게 인자 바이트 합이 일치하지 않았으며, BOOLEAN 타입을 4Byte 타입으로 바꾸어서(ULONG) 계산하면 일치함을 확인했습니다.
또한 이렇게 수정한 결과 후킹후 원본 함수 호출 시 ERROR_INVALID_PARAMETER 가 발생하지 않음을 확인했습니다.

위 내용에 대해서 2000 SP4, XP SP2 에 환경에서 확인해 보았습니다.

루트킷에 보면 하이브리드 후킹에 대한 설명이 나와있습니다.
간단히 말해서 DLL Injection 없이 커널모드 에서 유저모드의 IAT(Import Address Table)을 바로 후킹하는 것입니다.

이 후킹 방식의 주요 포인트는 PsSetLoadImageNotifyRoutine() 함수를 이용하여 바이너리 이미지가 메모리로 로드되는 시점을 알 수 있다는 것과 KUSER_SHARED_DATA 영역이라 불리는 커널모드와 유저모드에서 동일한 물리 메모리 주소를 가리키는 영역을 이용한다는 것입니다.


하지만 책에 있는 샘플을 그대로 동작시켰을때 정상적으로 후킹되지 않음을 알 수 있습니다.
이는 PsSetLoadImageNotifyRoutine 콜백 함수로 특정 DLL 이 로드 되었다고 알려진 시점에 바로 후킹에 들어갔기 때문입니다. 즉, DLL 이 로드 되었다고 해도 해당 DLL의 익스포트 함수를 어플리케이션의 IAT(PE Format 에서 OriginalFirstThunk 가 아닌 FirstThunk)에 적용하기 전 시점일수(거의 대부분) 있기 때문입니다.

요지는 루트킷 책의 샘플을 이용하여 하이브리드 후킹을 했을때 후킹이 안된 경우는 위 문제 때문일 것이라는... ^^; (이미 아시는 내용이시라면 Pass ~~ )

디버깅한 내용들을 스크린 샷으로 찍어서 설명 드렸으면 더 좋았을 텐데.. 귀차니즘으로 ^^;
아래는 하이브리드 후킹에 대해서 그림으로 간단히 요약해 본 것입니다.
(그림에 대한 설명은 루트킷 책을 참고하세요)


역시 말로 설명하는 것보다 글이나 그림은 어렵군요. ^^;

※ 지나가는 소리 : 루트킷 책 원서와 번역본 모두 PsSetImageLoadNotifyRoutine 함수라고 나와있네요. 오타이며, 정확한 함수명은 PsSetLoadImageNotifyRoutine 입니다. ^^;

"정적 로딩으로 설정된 드라이버를 OpenService() 함수로 열었을때 정상적으로 열릴까?"

2008년 처음 포스팅인데 허접하네요... TT;

Visual Studio 2008 정식 버전이 MSDN 구독자 다운로드 사이트에 떴네요.
늘 그렇듯이 지금은 영문판 Team System Architecture 판만 올라와 있는 상태입니다.
(다운로드 받아서 설치해 보고 싶지만.. 지금은 그럴 여유가 없다는..)

http://blogs.msdn.com/msdnsubscriptions/default.aspx

Visual Studio 2008 is now live on MSDN Subscriber Downloads

As of 0900 (PST) on Monday November 19, 2007.

You have two avenues to download the files you are entitled to

1. Top Subscriber Downloads (make sure to allow popups)

2. Suscriber Downloads and Product Keys link

Enjoy!

 

9X 용 드라이버 개발해 본지가 호랑이 담배 필적이라...아주 잊고 있었는데..
(조금)아는 분이랑 메신저 대화하다가.. 9X 커널모드에서 타 프로세스 ID 얻는 방법이 갑자기 궁금해졌습니다.
분명 2X 계열과는 틀렸었는데(커널모드에서 얻은 프로세스 ID와 유저모드의 프로세스 ID가 매치되지 않는)... '뭐였지?' 하면서 기억들 더듬 더듬...

요새는 거의 9X 용 드라이버를 개발하는 경우가 없으실테니 필요가 없는 내용일 것입니다.
더군다나 맞는지도 모르겠고.. 확인해볼 플랫폼이나 테스트 해 볼 9X용 드라이버도 없으니..

지금 돌이켜보면 9X 용 드라이버 개발할때가 참 색다른 맛이 있었던것 같네요.
WDM 이다 WDF 다 하면서 점점 드라이버 개발 진입이 쉬워지기는 하지만.. 그래도 나름 그때가 묘한 매력이 있었던것 같습니다.

위와같은 버전 정의를 보면서 왜 이렇게 여러개를 만들어 놨을까 궁금한적 없으신지..
저 나름데로 WINVER는 NT 가 나오기 전에 사용되었던 것 같고, _WIN32_WINNT는 NT 개발하면서 만들어졌고.. 기존 헤더 파일들과의 호환성을 위해서 둘다 남겨두었을거라고 생각했었는데.. 대충 맞네요. ^^;

자세한 히스토리는 아래 사이트에서..
http://blogs.msdn.com/oldnewthing/archive/2007/04/11/2079137.aspx

미니필터 드라이버에서 I/O 연산시 파일 풀패스명을 얻는 함수를 작성하였습니다.
미니필터 드라이버에서는 파일명 및 파일 정보를 얻기 위해 필터 매니저에서 제공하는 FltGetFileNameInformation() 함수를 사용하여 얻을 수 있지만 이 함수가 실패하는 경우가 있습니다. 그것도 자주...(자세한 내용은 WDK 도움말을 참조하십시오)
 NTSTATUS MiniGetFileName(IN PFLT_CALLBACK_DATA Data, IN PCFLT_RELATED_OBJECTS FltObjects, OUT PUNICODE_STRING pFullPathName) { PFLT_FILE_NAME_INFORMATION pFileNameInfo = NULL; NTSTATUS Status = STATUS_SUCCESS; //파일 객체가 NULL 이거나 콜백 데이터가 NULL 인 경우 리턴 if(FltObjects->FileObject == NULL || Data == NULL) { Status = STATUS_UNSUCCESSFUL; return Status; } //FLT_FILE_NAME_INFORMATION 정보를 쿼리 Status = FltGetFileNameInformation(Data, FLT_FILE_NAME_NORMALIZED | FLT_FILE_NAME_QUERY_ALWAYS_ALLOW_CACHE_LOOKUP, &pFileNameInfo); if(NT_SUCCESS(Status)) { //FLT_FILE_NAME_INFORMATION 정보를 얻어 오면 OUT 인자에 풀패스 파일명 복사 if(pFileNameInfo->Name.Length > 0) { RtlUnicodeStringCopy(pFullPathName, &pFileNameInfo->Name); } } else { //FLT_FILE_NAME_INFORMATION 정보를 얻어오지 못한 경우 FLT_FILE_NAME_OPENED 방식으로 다시 쿼리 Status = FltGetFileNameInformation(Data, FLT_FILE_NAME_OPENED | FLT_FILE_NAME_QUERY_ALWAYS_ALLOW_CACHE_LOOKUP, &pFileNameInfo); if(NT_SUCCESS(Status)) { //FLT_FILE_NAME_INFORMATION 정보를 얻어 오면 OUT 인자에 풀패스 파일명 복사 if(pFileNameInfo->Name.Length > 0) { RtlUnicodeStringCopy(pFullPathName, &pFileNameInfo->Name); } } else { //FltGetFileNameInformation() 함수로 파일 정보를 얻어오지 못하는 경우 //FileObject에 직접 접근하여 파일명을 얻어옴 //FileObject 에 있는 파일명은 볼륨(디바이스) 정보가 없는 풀 패스명이므로 볼륨명을 얻어서 //볼륨명 뒤에 FileObject의 파일명을 붙여서 풀패스명을 만듦 ULONG Size; UNICODE_STRING szTempPath; UNICODE_STRING szDevice; UNICODE_STRING szFileNameDevice; //FileObject->FileName 이 볼륨정보를 포함하고 있는지 체크 szFileNameDevice.Length = FltObjects->FileObject->FileName.Length; szFileNameDevice.MaximumLength = FltObjects->FileObject->FileName.MaximumLength; szFileNameDevice.Buffer = ExAllocatePoolWithTag(NonPagedPool, szFileNameDevice.MaximumLength, 'iNiM'); if(szFileNameDevice.Buffer == NULL) { return STATUS_UNSUCCESSFUL; } RtlInitUnicodeString(&szDevice, L"\\Device"); if(FltObjects->FileObject->FileName.Length >= szDevice.Length) { RtlUnicodeStringCchCopyN(&szFileNameDevice, &FltObjects->FileObject->FileName, 7); } if(RtlEqualUnicodeString(&szDevice, &szFileNameDevice, TRUE)) { RtlUnicodeStringCopy(pFullPathName, &FltObjects->FileObject->FileName); } else { //볼륨정보를 얻어와서 연결 시킴 szTempPath.Length = 0; szTempPath.MaximumLength = FltObjects->FileObject->FileName.MaximumLength + 2; Status = FltGetVolumeName(FltObjects->Volume, NULL, &Size); if(Status == STATUS_BUFFER_TOO_SMALL) { szTempPath.MaximumLength += (USHORT)Size; szTempPath.Buffer = ExAllocatePoolWithTag(NonPagedPool, szTempPath.MaximumLength, 'iNiM'); if(szTempPath.Buffer != NULL) { Status = FltGetVolumeName(FltObjects->Volume, &szTempPath, &Size); if(NT_SUCCESS(Status)) { RtlUnicodeStringCat(&szTempPath, &FltObjects->FileObject->FileName); RtlUnicodeStringCopy(pFullPathName, &szTempPath); } ExFreePoolWithTag(szTempPath.Buffer, 'iNiM'); } } } ExFreePoolWithTag(szFileNameDevice.Buffer, 'iNiM'); } } //FltGetFileNameInformation() 함수로 얻어온 FLT_FILE_NAME_INFORMATION 을 해제해 주어야 함 if(pFileNameInfo != NULL) { FltReleaseFileNameInformation(pFileNameInfo); } return Status; }

위 함수는 Pre/Post Operation Callback 루틴에서 아래와 같이 사용하시면 됩니다.
FLT_PREOP_CALLBACK_STATUS MiniPreOperationCallback (IN OUT PFLT_CALLBACK_DATA Data, IN PCFLT_RELATED_OBJECTS FltObjects, OUT PVOID *CompletionContext) { //코드 생략 ... NTSTATUS Status = STATUS_SUCCESS; UNICODE_STRING FileName; FileName.Length = 0; FileName.MaximumLength = NTSTRSAFE_UNICODE_STRING_MAX_CCH * sizeof(WCHAR); FileName.Buffer = ExAllocatePoolWithTag(NonPagedPool, FileName.MaximumLength, 'iNiM'); if(FileName.Buffer == NULL) { return STATUS_UNSUCCESSFUL; } Status = MiniGetFileName(Data, FltObjects, &FileName); if(Status == STATUS_SUCCESS) { // FileName에 파일 풀패스 명이 넣어져서 리턴됨 } ExFreePoolWithTag(FileName.Buffer, 'iNiM'); //코드 생략 ... }

※ 주의 : 코드는 실제 적용 코드에서 블로깅을 위해 수정된 것입니다. 사용하실때는 코드 검증및 테스트를 하시고 사용하시기 바랍니다.

미니필터 드라이버 기반 파일 모니터링 프로그램이 어느정도 완성되었습니다. 현재 테스트 중이고, 곧 업로드 하도록 하겠습니다.

[스크린샷]

미니필터 드라이버가 XP에서는 로딩이 잘 되는데 비스타에서 테스트 해보니 FilterLoad() 함수가 0x80070522(ERROR_PRIVILEGE_NOT_HELD) 에러를 내며 로딩이 실패(물론 관리자 권한으로 실행해도) 하네요.
WDK 도움말을 잘 읽어보니..(역시 문서를 잘 읽어야 되는데.. 쩝) FilterLoad() 함수 호출자는 SeLoadDriverPrivilege (SE_LOAD_DRIVER_PRIVILEGE) 을 가져야 한다고 적혀있습니다.

그래서 프로그램이 필터드라이버 로딩전에 SeLoadDriverPrivilege 권한을 Enable 하도록 하는 함수를 만들었습니다.

DWORD EnablePrivilege(LPCTSTR strPrivilege) { HANDLE hToken; TOKEN_PRIVILEGES TokenPrivileges; TOKEN_PRIVILEGES OldTokenPrivileges; DWORD dwSize = sizeof(TOKEN_PRIVILEGES); LUID Luid; DWORD Status; //현재 프로세스의 access token 열기 if(!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken)) { Status = GetLastError(); return Status; } //특정 권한명의 LUID(locally unique identifier)를 얻어옴 if(!LookupPrivilegeValue(NULL, strPrivilege, &Luid)) { Status = GetLastError(); CloseHandle(hToken); return Status; } //액세스 토큰에 줄 권한을 설정 ZeroMemory(&TokenPrivileges, sizeof(TOKEN_PRIVILEGES)); TokenPrivileges.PrivilegeCount = 1; TokenPrivileges.Privileges[0].Luid = Luid; TokenPrivileges.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED; //액세스 토큰에 특정 권한을 Enable (두번째 인자가 FALSE 이면 Enable, TRUE 이면 Disable) if(!AdjustTokenPrivileges (hToken, FALSE, &TokenPrivileges, sizeof(TOKEN_PRIVILEGES), &OldTokenPrivileges, &dwSize)) { Status = GetLastError(); CloseHandle(hToken); return Status; } CloseHandle (hToken); return ERROR_SUCCESS; }

이 함수를 FilterLoad() 함수전에 아래와 같이 SeLoadDriverPrivilege 를 인자로 해서 호출해 주면 됩니다.
... Status = EnablePrivilege(_T("SeLoadDriverPrivilege")); if(Status != ERROR_SUCCESS) { return Status; } //필터 로딩 Status = FilterLoad(); ...

※ 주의 : 코드는 실제 적용 코드에서 블로깅을 위해 수정된 것입니다. 사용하실때는 코드 검증및 테스트를 하시고 사용하시기 바랍니다.

개발된 프로그램이 관리자 권한이 필요한 것이라면 Vista 에서 실행시 에러가 뜨는 경우가 있습니다.
이때 해결할 수 있는 방법은 Vista 의 UAC 기능을 죽이거나  탐색기에서 해당 프로그램에 오른쪽 마우스 클릭후 '관리자 권한으로 실행' 을 하는 것입니다.
이러한 것은 일반 사용자에게 불편을 줄 수 있으므로 처음부터 관리자 권한으로 실행되는 프로그램을 개발할 필요가 있습니다.

1. 관리자 권한을 요구하는 manifest 파일 만들기
 
예를 들어 Test.exe 라는 프로그램을 만든다고 할 때 이래와 같이 우선 Test.exe.manifest 라는 파일을 작성합니다.
참고로 name 에는 프로그램 이름을 적으시면 되고, description에는 프로그램 설명을 적으시면 됩니다.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?> <assembly xmlns="urn:schemas-microsoft-com:asm.v1" manifestVersion="1.0"> <assemblyIdentity version="1.0.0.0" processorArchitecture="X86" name="Test" type="win32"/> <description>Test Program</description> <!-- Identify the application security requirements. --> <trustInfo xmlns="urn:schemas-microsoft-com:asm.v3"> <security> <requestedPrivileges> <requestedExecutionLevel level="requireAdministrator" uiAccess="false"/> </requestedPrivileges> </security> </trustInfo> </assembly>

2. 프로그램에 manifest 파일 추가 방법

  (1) 방법 1

Visaul Studio의 프로젝트 속성 -> 구성 속성 -> 매니페스트 도구 -> 입력 및 출력 에 보면 추가 매니페스트 파일 있는데 여기다가 manifest 파일이 있는 경로를 적어줍니다.

 이렇게 한 후 빌드를 하면 경고가 하나 뜨지만 빌드가 잘 되는 것을 확인 할 수 있습니다.

  (2) 방법 2

실행 파일 먼저 빌드되고 나중에 manifest 파일을 빌드해서 넣는 방법은 프로젝트 속성 -> 구성 속성 -> 빌드 이벤트 -> 빌두 후 이벤트에 보면 명령줄이 있는데 여기에 아래와 같이 작성하면 됩니다.

3. 결론

빌드가 된 실행파일을 비스타에서 보면 아이콘 옆에 관리자 권한이 필요한 프로그램이라는 표시로 방패가 추가된 것을 보실수 있습니다. 위 두가지 방법 말고도 manifest 파일을 프로젝트에 추가시키는 방법이 하나가 더 있는데, 그에 대해서는 http://himskim.egloos.com/1524155 를 참조하십시오.

회사에서 사용하고 있는 파일 시스템 필터 드라이버를 미니필터 드라이버로 바꾸기로 해서 요즘 미니 필터 드라이버를 이용한 파일 모니터링 엔진을 개발 중입니다.
아래는 테스트를 위한 툴을 만들어 본 것입니다.

Install 방식은 SCM(Service Control Manager)를 이용하여(CreateService 함수 이용) 설치하는 방식 (물론 이경우 instance 관련 레지스트리는 직접 작성해 주는 방식으로)과 SetupApi를 이용한 방식(SetupInstallFilesFromInfSection 함수 이용), 그리고 가장 손쉬운 InstallHinfSection 함수를 바로 이용하는 것 세가지 다 구현 하였습니다.

그리고 로딩, 어태치,디태치 기능을 구현하였고, 통신(FilterSendMessage 이용 방식및 , FilterGet/ReplyMessage 이용방식 모두)까지 구현한 상태 입니다.
현재는 드라이버에서 모니터링된 파일 및 관련 정보를 App로 보내는 부분의 작업을 하고 있습니다.

참고로 NEOFM 은 개발하는 미니필터 드라이버 이름이고 Altitude는 임의로 정한 값을 사용하고 있습니다.

누군가는 뭐라 그러겠네.. 블로그에 이런거나 올린다고.. ㅋㅋ
(아무튼 간만에 포스팅하는 글이네요)