VB6实现Ring3下直接调用Ring0层函数，反一切R3下API Hook。

2023-11-07 22:38
文章标签 实现 函数 调用 api 直接 vb6 hook r3 ring3 ring0

本文主要是介绍VB6实现Ring3下直接调用Ring0层函数，反一切R3下API Hook。，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

接论坛帖子：http://topic.csdn.net/u/20120518/18/9a00ec5c-b3d1-4a1f-9bc1-ba1a47b52463.html

例子应用如下。我只是给一个方法给大家，这个方法肯定很麻烦，有需求的人可以用。

添加Module1

[vb]  view plain copy
  1. Private asm_CallCode() As Byte, KiFastSystemCall&, KiIntSystemCall&  
  2. Private Declare Function CallWindowProcW& Lib "user32" (ByVal lpPrevWndFunc As Long, ByVal hWnd As Long, ByVal Msg As Long, ByVal wParam As Long, ByVal lParam As Long)  
  3. Private Declare Function LocalAlloc& Lib "kernel32" (ByVal f&, ByVal s&)  
  4. Private Declare Function LocalSize& Lib "kernel32" (ByVal m&)  
  5. Private Declare Function LocalFree& Lib "kernel32" (ByVal m&)  
  6. Private Declare Function GetModuleHandleA& Lib "kernel32" (ByVal n$)  
  7. Private Declare Function GetProcAddress& Lib "kernel32" (ByVal m&, ByVal n$)  
  8. Private Declare Function IsWow64Process& Lib "kernel32" (ByVal h&, IsWow64 As Boolean)  
  9. Private Declare Sub RtlMoveMemory Lib "kernel32" (ByVal Dst&, ByVal Src&, ByVal Size&)  
  10. Private Declare Sub PutMem1 Lib "msvbvm60" (ByVal Ptr As Long, ByVal NewVal As Byte)  
  11. Private Declare Sub PutMem2 Lib "msvbvm60" (ByVal Ptr As Long, ByVal NewVal As Integer)  
  12. Private Declare Sub PutMem4 Lib "msvbvm60" (ByVal Ptr As Long, ByVal NewVal As Long)  
  13. Private Declare Sub PutMem8 Lib "msvbvm60" (ByVal Ptr As Long, ByVal NewVal As Currency)  
  14.   
  15. Public Function ReadKrnlFunctionIndex&(ByVal Name$, Optional ByVal DllFile$ = "ntdll.dll") '//读取内核函数索引  
  16. Dim pEntry&, dwIndex&  
  17. pEntry = GetProcAddress(GetModuleHandleA(DllFile), Name)  
  18. RtlMoveMemory VarPtr(dwIndex), pEntry + 1, 4  
  19. ReadKrnlFunctionIndex = dwIndex  
  20. End Function  
  21.   
  22. Public Function InitCallKernel() As Boolean  '//这里初始化call代码  
  23. Dim bWow64 As Boolean  
  24. IsWow64Process -1, bWow64  
  25. If bWow64 Then Exit Function '//不支持x64  
  26. ReDim asm_CallCode(11)  
  27. KiFastSystemCall = GetProcAddress(GetModuleHandleA("ntdll.dll"), "KiFastSystemCall")  
  28. KiIntSystemCall = GetProcAddress(GetModuleHandleA("ntdll.dll"), "KiIntSystemCall")  
  29. If KiFastSystemCall = 0 Then Exit Function  
  30. If KiIntSystemCall = 0 Then Exit Function  
  31. asm_CallCode(0) = &HBA  
  32. RtlMoveMemory VarPtr(asm_CallCode(1)), IIf(CheckKiFastSystemCallHook, VarPtr(KiIntSystemCall), VarPtr(KiFastSystemCall)), 4 '//这里检测Hook，如果KiFastSystemCall被Hook、修改，就使用KiIntSystemCall  
  33. asm_CallCode(5) = &HB8  
  34. RtlMoveMemory VarPtr(asm_CallCode(6)), VarPtr(0&), 4  
  35. asm_CallCode(10) = &HFF  
  36. asm_CallCode(11) = &HD2  
  37. InitCallKernel = True  
  38. End Function  
  39.   
  40. Public Function CheckKiFastSystemCallHook() As Boolean  
  41. Dim bChar As Byte  
  42. RtlMoveMemory VarPtr(bChar), KiFastSystemCall, 1  
  43. If bChar = &HE9 Then CheckKiFastSystemCallHook = True: Exit Function '//检测jmp Hook  
  44. If bChar = &H68 Then CheckKiFastSystemCallHook = True: Exit Function '//检测push Hook  
  45. Dim dw3Char&  
  46. RtlMoveMemory VarPtr(dw3Char), KiFastSystemCall, 3  
  47. If dw3Char <> 1037451 Then CheckKiFastSystemCallHook = True: Exit Function '//检测函数头  
  48. End Function  
  49.   
  50. Public Function CallKernelFunction&(ByVal Name$, ByVal DllFile$, ParamArray pParam())  
  51. Dim dwIndex&  
  52. dwIndex = ReadKrnlFunctionIndex(Name, DllFile)  
  53. If dwIndex = 0 Then CallKernelFunction = -1: Exit Function  
  54. Dim ret&, i%, offset&  
  55. Dim hMem&  
  56. hMem = LocalAlloc(0, ((UBound(pParam) + 2) * 5) + UBound(pParam) + 1 + 1 + 12 + 1) '//申请代码内存  
  57. offset = hMem  
  58. For i = UBound(pParam) To 0 Step -1 '//压栈  
  59. PutMem1 offset, &H68 'push Param  
  60. offset = offset + 1  
  61. PutMem4 offset, pParam(i)  
  62. offset = offset + 4  
  63. Next  
  64. PutMem1 offset, &H68 'push Return Address  
  65. PutMem4 offset + 1, VarPtr(ret)  
  66. offset = offset + 5  
  67. RtlMoveMemory VarPtr(asm_CallCode(6)), VarPtr(dwIndex), 4 '//设置内核函数索引  
  68. RtlMoveMemory offset, VarPtr(asm_CallCode(0)), 12 '//把初始化的代码整个复制过去，省得重造轮子  
  69. offset = offset + 12  
  70. For i = 0 To UBound(pParam) + 1 '//出栈  
  71. PutMem1 offset, &H59 'pop  
  72. offset = offset + 1  
  73. Next  
  74. PutMem1 offset, &HC3 'retn  
  75. PutMem1 hMem + LocalSize(hMem), &H90 '//nop一行代码  
  76. CallKernelFunction = CallWindowProcW(hMem, 0, 0, 0, 0) 'call  
  77. LocalFree hMem '//释放内存  
  78. End Function  
添加Form1，一个Command1

[vb]  view plain copy
  1. Private Declare Function TextOut& Lib "gdi32" Alias "TextOutA" (ByVal DC As Long, ByVal X As Long, ByVal Y As Long, ByVal Text As String, ByVal Size As Long)  
  2. Private Declare Function CreateThread& Lib "kernel32" (Optional ByVal Attributes As Long, Optional ByVal StackSize As Long, Optional ByVal Address As Long, Optional Parameter As Long, Optional ByVal CreationFlags As Long, Optional TIDs As Long)  
  3. Private Type CONTEXT  
  4. ContextFlags As Long  
  5. Dr(5) As Long  
  6. FloatSave(111) As Byte  
  7. SegGs As Long  
  8. SegFs As Long  
  9. SegEs As Long  
  10. SegDs As Long  
  11. Edi As Long  
  12. Esi As Long  
  13. Ebx As Long  
  14. Edx As Long  
  15. Ecx As Long  
  16. Eax As Long  
  17. Ebp As Long  
  18. Eip As Long  
  19. SegCs As Long  
  20. EFlags As Long  
  21. Esp As Long  
  22. SegSs As Long  
  23. End Type  
  24.   
  25. Private Function GetAddr&(ByVal aaa&)  
  26. GetAddr = aaa  
  27. End Function  
  28.   
  29. Private Sub Command1_Click()  
  30. Dim hThread&  
  31. hThread = CreateThread(0, 0, 0, 0, 4, 0)'线程状态为暂停（开始地址为0，直接执行会崩）  
  32. MsgBox hThread  
  33. Dim i As CONTEXT  
  34. i.ContextFlags = 65543'CONTEXT_FULL  
  35. Me.Caption = CallKernelFunction("ZwGetContextThread", "ntdll.dll", hThread, VarPtr(i))  
  36. i.Eip = GetAddr(AddressOf aaa)'更改执行地址  
  37. Me.Caption = CallKernelFunction("ZwSetContextThread", "ntdll.dll", hThread, VarPtr(i))  
  38. CallKernelFunction "ZwResumeThread", "ntdll.dll", hThread, 0'恢复线程运行  
  39. End Sub  
  40.   
  41. Private Sub Form_Load()  
  42. InitCallKernel  
  43. End Sub  
  44.   
  45. Private Sub Form_Paint()  
  46. Dim hDC&  
  47. hDC = CallKernelFunction("GetDC", "user32.dll", Me.hWnd) '频繁调用可测试稳定性  
  48. TextOut hDC, 5, 5, "123", 3  
  49.   
  50. Dim hProcess&  
  51. Dim objAttr&(5), cid&(1)  
  52. cid(0) = 1192 '改成你要打开的PID  
  53. CallKernelFunction "ZwOpenProcess", "ntdll.dll", VarPtr(hProcess), 2035711, VarPtr(objAttr(0)), VarPtr(cid(0))  
  54. Me.Caption = hProcess  
  55. End Sub  
添加Module2

[vb]  view plain copy
  1. Public Declare Function ExitThread& Lib "kernel32" (ByVal ExitStatus&)  
  2. Public Sub aaa(ByVal Param&)  
  3. Dim i&  
  4. For i = 0 To 10000  
  5. Form1.Caption = i  
  6. Next  
  7. ExitThread 0  
  8. End Sub  

编译运行可测试效果

*******************************

下面这个可替换Module1，InitCallKernel时加True即可。

[vb]  view plain copy
  1. Private asm_CallCode() As Byte, asm_MyCallCode() As Byte, KiFastSystemCall&, KiIntSystemCall&, MyKiFastSystemCall#  
  2. Private Declare Function CallWindowProcW& Lib "user32" (ByVal lpPrevWndFunc As Long, ByVal hWnd As Long, ByVal Msg As Long, ByVal wParam As Long, ByVal lParam As Long)  
  3. Private Declare Function LocalAlloc& Lib "kernel32" (ByVal f&, ByVal s&)  
  4. Private Declare Function LocalSize& Lib "kernel32" (ByVal m&)  
  5. Private Declare Function LocalFree& Lib "kernel32" (ByVal m&)  
  6. Private Declare Function GetModuleHandleA& Lib "kernel32" (ByVal n$)  
  7. Private Declare Function GetProcAddress& Lib "kernel32" (ByVal m&, ByVal n$)  
  8. Private Declare Function IsWow64Process& Lib "kernel32" (ByVal h&, IsWow64 As Boolean)  
  9. Private Declare Sub RtlMoveMemory Lib "kernel32" (ByVal Dst&, ByVal Src&, ByVal Size&)  
  10. Private Declare Sub PutMem1 Lib "msvbvm60" (ByVal Ptr As Long, ByVal NewVal As Byte)  
  11. Private Declare Sub PutMem2 Lib "msvbvm60" (ByVal Ptr As Long, ByVal NewVal As Integer)  
  12. Private Declare Sub PutMem4 Lib "msvbvm60" (ByVal Ptr As Long, ByVal NewVal As Long)  
  13. Private Declare Sub PutMem8 Lib "msvbvm60" (ByVal Ptr As Long, ByVal NewVal As Currency)  
  14.   
  15. Public Function ReadKrnlFunctionIndex&(ByVal Name$, Optional ByVal DllFile$ = "ntdll.dll") '//读取内核函数索引  
  16. Dim pEntry&, dwIndex&  
  17. pEntry = GetProcAddress(GetModuleHandleA(DllFile), Name)  
  18. RtlMoveMemory VarPtr(dwIndex), pEntry + 1, 4  
  19. ReadKrnlFunctionIndex = dwIndex  
  20. End Function  
  21.   
  22. Public Function InitCallKernel(Optional ByVal IsMySysenter As Boolean) As Boolean  '//这里初始化call代码  
  23. Dim bWow64 As Boolean  
  24. IsWow64Process -1, bWow64  
  25. If bWow64 Then Exit Function '//不支持x64  
  26. ReDim asm_CallCode(11)  
  27. KiFastSystemCall = GetProcAddress(GetModuleHandleA("ntdll.dll"), "KiFastSystemCall")  
  28. KiIntSystemCall = GetProcAddress(GetModuleHandleA("ntdll.dll"), "KiIntSystemCall")  
  29. If KiFastSystemCall = 0 Then Exit Function  
  30. If KiIntSystemCall = 0 Then Exit Function  
  31. asm_CallCode(0) = &HBA  
  32. RtlMoveMemory VarPtr(asm_CallCode(1)), IIf(CheckKiFastSystemCallHook, VarPtr(KiIntSystemCall), VarPtr(KiFastSystemCall)), 4 '//这里检测Hook，如果KiFastSystemCall被Hook、修改，就使用KiIntSystemCall  
  33. If IsMySysenter Then RtlMoveMemory VarPtr(asm_CallCode(1)), VarPtr(InitMyCallKernel), 4 '//自己写sysenter，省得R3下被各种Hook  
  34. asm_CallCode(5) = &HB8  
  35. RtlMoveMemory VarPtr(asm_CallCode(6)), VarPtr(0&), 4  
  36. asm_CallCode(10) = &HFF  
  37. asm_CallCode(11) = &HD2  
  38. InitCallKernel = True  
  39. End Function  
  40.   
  41. Public Function InitMyCallKernel&() '//本来不想写这招的，可见他们说各种Hook，啊那就（<ゝω·）☆  
  42. PutMem4 VarPtr(MyKiFastSystemCall), 873452683  
  43. PutMem2 VarPtr(MyKiFastSystemCall) + 4, -13117  
  44. InitMyCallKernel = VarPtr(MyKiFastSystemCall)  
  45. End Function  
  46.   
  47. Public Function CheckKiFastSystemCallHook() As Boolean  
  48. Dim bChar As Byte  
  49. RtlMoveMemory VarPtr(bChar), KiFastSystemCall, 1  
  50. If bChar = &HE9 Then CheckKiFastSystemCallHook = True: Exit Function '//检测jmp Hook  
  51. If bChar = &H68 Then CheckKiFastSystemCallHook = True: Exit Function '//检测push Hook  
  52. Dim dw3Char&  
  53. RtlMoveMemory VarPtr(dw3Char), KiFastSystemCall, 3  
  54. If dw3Char <> 1037451 Then CheckKiFastSystemCallHook = True: Exit Function '//检测函数头  
  55. End Function  
  56.   
  57. Public Function CallKernelFunction&(ByVal Name$, ByVal DllFile$, ParamArray pParam())  
  58. Dim dwIndex&  
  59. dwIndex = ReadKrnlFunctionIndex(Name, DllFile)  
  60. If dwIndex = 0 Then CallKernelFunction = -1: Exit Function  
  61. Dim ret&, i%, offset&  
  62. Dim hMem&  
  63. hMem = LocalAlloc(0, ((UBound(pParam) + 2) * 5) + UBound(pParam) + 1 + 1 + 12 + 1) '//申请代码内存  
  64. offset = hMem  
  65. For i = UBound(pParam) To 0 Step -1 '//压栈  
  66. PutMem1 offset, &H68 'push Param  
  67. offset = offset + 1  
  68. PutMem4 offset, pParam(i)  
  69. offset = offset + 4  
  70. Next  
  71. PutMem1 offset, &H68 'push Return Address  
  72. PutMem4 offset + 1, VarPtr(ret)  
  73. offset = offset + 5  
  74. RtlMoveMemory VarPtr(asm_CallCode(6)), VarPtr(dwIndex), 4 '//设置内核函数索引  
  75. RtlMoveMemory offset, VarPtr(asm_CallCode(0)), 12 '//把初始化的代码整个复制过去，省得重造轮子  
  76. offset = offset + 12  
  77. For i = 0 To UBound(pParam) + 1 '//出栈  
  78. PutMem1 offset, &H59 'pop  
  79. offset = offset + 1  
  80. Next  
  81. PutMem1 offset, &HC3 'retn  
  82. PutMem1 hMem + LocalSize(hMem), &H90 '//nop一行代码  
  83. CallKernelFunction = CallWindowProcW(hMem, 0, 0, 0, 0) 'call  
  84. LocalFree hMem '//释放内存  
  85. End Function  


这篇关于VB6实现Ring3下直接调用Ring0层函数，反一切R3下API Hook。的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/366628。

相关文章

SpringBoot集成redisson实现延时队列教程

SpringBoot集成redisson实现延时队列教程

《SpringBoot集成redisson实现延时队列教程》文章介绍了使用Redisson实现延迟队列的完整步骤,包括依赖导入、Redis配置、工具类封装、业务枚举定义、执行器实现、Bean创建、消费... 目录1、先给项目导入Redisson依赖2、配置redis3、创建 RedissonConfig 配
阅读更多...
Python的Darts库实现时间序列预测

Python的Darts库实现时间序列预测

《Python的Darts库实现时间序列预测》Darts一个集统计、机器学习与深度学习模型于一体的Python时间序列预测库,本文主要介绍了Python的Darts库实现时间序列预测,感兴趣的可以了解... 目录目录一、什么是 Darts？二、安装与基本配置安装 Darts导入基础模块三、时间序列数据结构与
阅读更多...
Python使用FastAPI实现大文件分片上传与断点续传功能

Python使用FastAPI实现大文件分片上传与断点续传功能

《Python使用FastAPI实现大文件分片上传与断点续传功能》大文件直传常遇到超时、网络抖动失败、失败后只能重传的问题,分片上传+断点续传可以把大文件拆成若干小块逐个上传,并在中断后从已完成分片继... 目录一、接口设计二、服务端实现（FastAPI）2.1 运行环境2.2 目录结构建议2.3 serv
阅读更多...
C#实现千万数据秒级导入的代码

C#实现千万数据秒级导入的代码

《C#实现千万数据秒级导入的代码》在实际开发中excel导入很常见,现代社会中很容易遇到大数据处理业务,所以本文我就给大家分享一下千万数据秒级导入怎么实现,文中有详细的代码示例供大家参考,需要的朋友可... 目录前言一、数据存储二、处理逻辑优化前代码处理逻辑优化后的代码总结前言在实际开发中excel导入很
阅读更多...
SpringBoot+RustFS 实现文件切片极速上传的实例代码

SpringBoot+RustFS 实现文件切片极速上传的实例代码

《SpringBoot+RustFS实现文件切片极速上传的实例代码》本文介绍利用SpringBoot和RustFS构建高性能文件切片上传系统,实现大文件秒传、断点续传和分片上传等功能,具有一定的参考... 目录一、为什么选择 RustFS + SpringBoot？二、环境准备与部署2.1 安装 RustF
阅读更多...
Nginx部署HTTP/3的实现步骤

Nginx部署HTTP/3的实现步骤

《Nginx部署HTTP/3的实现步骤》本文介绍了在Nginx中部署HTTP/3的详细步骤,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一起学... 目录前提条件第一步：安装必要的依赖库第二步：获取并构建 BoringSSL第三步：获取 Nginx
阅读更多...
MyBatis Plus实现时间字段自动填充的完整方案

MyBatis Plus实现时间字段自动填充的完整方案

《MyBatisPlus实现时间字段自动填充的完整方案》在日常开发中,我们经常需要记录数据的创建时间和更新时间,传统的做法是在每次插入或更新操作时手动设置这些时间字段,这种方式不仅繁琐,还容易遗漏,... 目录前言解决目标技术栈实现步骤1. 实体类注解配置2. 创建元数据处理器3. 服务层代码优化填充机制详
阅读更多...
Python实现Excel批量样式修改器(附完整代码)

Python实现Excel批量样式修改器(附完整代码)

《Python实现Excel批量样式修改器(附完整代码)》这篇文章主要为大家详细介绍了如何使用Python实现一个Excel批量样式修改器,文中的示例代码讲解详细,感兴趣的小伙伴可以跟随小编一起学习一... 目录前言功能特性核心功能界面特性系统要求安装说明使用指南基本操作流程高级功能技术实现核心技术栈关键函
阅读更多...
Java实现字节字符转bcd编码

Java实现字节字符转bcd编码

《Java实现字节字符转bcd编码》BCD是一种将十进制数字编码为二进制的表示方式,常用于数字显示和存储,本文将介绍如何在Java中实现字节字符转BCD码的过程,需要的小伙伴可以了解下... 目录前言BCD码是什么Java实现字节转bcd编码方法补充总结前言BCD码（Binary-Coded Decima
阅读更多...
SpringBoot全局域名替换的实现

SpringBoot全局域名替换的实现

《SpringBoot全局域名替换的实现》本文主要介绍了SpringBoot全局域名替换的实现,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一... 目录 项目结构⚙️ 配置文件application.yml️ 配置类AppProperties.Ja
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2