驱动开发：内核枚举Registry注册表回调

在笔者上一篇文章《驱动开发：内核枚举LoadImage映像回调》中LyShark教大家实现了枚举系统回调中的LoadImage通知消息，本章将实现对Registry注册表通知消息的枚举，与LoadImage消息不同Registry消息不需要解密只要找到CallbackListHead消息回调链表头并解析为_CM_NOTIFY_ENTRY结构即可实现枚举。
我们来看一款闭源ARK工具是如何实现的：

注册表系统回调的枚举需要通过特征码搜索来实现，首先我们可以定位到uf CmUnRegisterCallback内核函数上，在该内核函数下方存在一个CallbackListHead链表节点，取出这个链表地址。

当得到注册表链表入口0xfffff8063a065bc0直接将其解析为_CM_NOTIFY_ENTRY即可得到数据，如果要遍历下一个链表则只需要ListEntryHead.Flink向下移动指针即可。

1. // 署名权
2. // right to sign one's name on a piece of work
3. // PowerBy: LyShark
4. // Email: me@lyshark.com
6. // 注册表回调函数结构体定义
7. typedef struct _CM_NOTIFY_ENTRY
8. {
9.   LIST_ENTRY  ListEntryHead;
10.   ULONG   UnKnown1;
11.   ULONG   UnKnown2;
12.   LARGE_INTEGER Cookie;
13.   PVOID   Context;
14.   PVOID   Function;
15. }CM_NOTIFY_ENTRY, *PCM_NOTIFY_ENTRY;

复制代码

要想得到此处的链表地址，需要先通过MmGetSystemRoutineAddress()获取到CmUnRegisterCallback函数基址，然后在该函数起始位置向下搜索，找到这个链表节点，并将其后面的基地址取出来，在上一篇《驱动开发：内核枚举LoadImage映像回调》文章中已经介绍了定位方式此处跳过介绍，具体实现代码如下。

1. // 署名权
2. // right to sign one's name on a piece of work
3. // PowerBy: LyShark
4. // Email: me@lyshark.com
6. #include <ntifs.h>
7. #include <windef.h>
9. // 指定内存区域的特征码扫描
10. // PowerBy: LyShark.com
11. PVOID SearchMemory(PVOID pStartAddress, PVOID pEndAddress, PUCHAR pMemoryData, ULONG ulMemoryDataSize)
12. {
13.         PVOID pAddress = NULL;
14.         PUCHAR i = NULL;
15.         ULONG m = 0;
17.         // 扫描内存
18.         for (i = (PUCHAR)pStartAddress; i < (PUCHAR)pEndAddress; i++)
19.         {
20.                 // 判断特征码
21.                 for (m = 0; m < ulMemoryDataSize; m++)
22.                 {
23.                         if (*(PUCHAR)(i + m) != pMemoryData[m])
24.                         {
25.                                 break;
26.                         }
27.                 }
28.                 // 判断是否找到符合特征码的地址
29.                 if (m >= ulMemoryDataSize)
30.                 {
31.                         // 找到特征码位置, 获取紧接着特征码的下一地址
32.                         pAddress = (PVOID)(i + ulMemoryDataSize);
33.                         break;
34.                 }
35.         }
37.         return pAddress;
38. }
40. // 根据特征码获取 CallbackListHead 链表地址
41. // PowerBy: LyShark.com
42. PVOID SearchCallbackListHead(PUCHAR pSpecialData, ULONG ulSpecialDataSize, LONG lSpecialOffset)
43. {
44.         UNICODE_STRING ustrFuncName;
45.         PVOID pAddress = NULL;
46.         LONG lOffset = 0;
47.         PVOID pCmUnRegisterCallback = NULL;
48.         PVOID pCallbackListHead = NULL;
50.         // 先获取 CmUnRegisterCallback 函数地址
51.         RtlInitUnicodeString(&ustrFuncName, L"CmUnRegisterCallback");
52.         pCmUnRegisterCallback = MmGetSystemRoutineAddress(&ustrFuncName);
53.         if (NULL == pCmUnRegisterCallback)
54.         {
55.                 return pCallbackListHead;
56.         }
58.         // 查找 fffff806`3a4271b3 488d0d06eac3ff  lea     rcx,[nt!CallbackListHead (fffff806`3a065bc0)]
59.         /*
60.         lyshark.com>
61.                 nt!CmUnRegisterCallback+0x6b:
62.                 fffff806`3a4271ab 4533c0          xor     r8d,r8d
63.                 fffff806`3a4271ae 488d542438      lea     rdx,[rsp+38h]
64.                 fffff806`3a4271b3 488d0d06eac3ff  lea     rcx,[nt!CallbackListHead (fffff806`3a065bc0)]
65.                 fffff806`3a4271ba e855e2e2ff      call    nt!CmListGetNextElement (fffff806`3a255414)
66.                 fffff806`3a4271bf 488bf8          mov     rdi,rax
67.                 fffff806`3a4271c2 4889442440      mov     qword ptr [rsp+40h],rax
68.                 fffff806`3a4271c7 4885c0          test    rax,rax
69.                 fffff806`3a4271ca 0f84c7000000    je      nt!CmUnRegisterCallback+0x157 (fffff806`3a427297)  Branch
70.         */
71.         pAddress = SearchMemory(pCmUnRegisterCallback, (PVOID)((PUCHAR)pCmUnRegisterCallback + 0xFF), pSpecialData, ulSpecialDataSize);
72.         if (NULL == pAddress)
73.         {
74.                 return pCallbackListHead;
75.         }
77.         // 先获取偏移再计算地址
78.         lOffset = *(PLONG)((PUCHAR)pAddress + lSpecialOffset);
79.         pCallbackListHead = (PVOID)((PUCHAR)pAddress + lSpecialOffset + sizeof(LONG) + lOffset);
81.         return pCallbackListHead;
82. }
85. VOID UnDriver(PDRIVER_OBJECT Driver)
86. {
87. }
89. NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
90. {
91.         PVOID pCallbackListHeadAddress = NULL;
92.         RTL_OSVERSIONINFOW osInfo = { 0 };
93.         UCHAR pSpecialData[50] = { 0 };
94.         ULONG ulSpecialDataSize = 0;
95.         LONG lSpecialOffset = 0;
97.         DbgPrint("hello lyshark.com \n");
99.         // 查找 fffff806`3a4271b3 488d0d06eac3ff  lea     rcx,[nt!CallbackListHead (fffff806`3a065bc0)]
100.         /*
101.         lyshark.com>
102.         nt!CmUnRegisterCallback+0x6b:
103.         fffff806`3a4271ab 4533c0          xor     r8d,r8d
104.         fffff806`3a4271ae 488d542438      lea     rdx,[rsp+38h]
105.         fffff806`3a4271b3 488d0d06eac3ff  lea     rcx,[nt!CallbackListHead (fffff806`3a065bc0)]
106.         fffff806`3a4271ba e855e2e2ff      call    nt!CmListGetNextElement (fffff806`3a255414)
107.         fffff806`3a4271bf 488bf8          mov     rdi,rax
108.         fffff806`3a4271c2 4889442440      mov     qword ptr [rsp+40h],rax
109.         fffff806`3a4271c7 4885c0          test    rax,rax
110.         fffff806`3a4271ca 0f84c7000000    je      nt!CmUnRegisterCallback+0x157 (fffff806`3a427297)  Branch
111.         */
112.         pSpecialData[0] = 0x48;
113.         pSpecialData[1] = 0x8D;
114.         pSpecialData[2] = 0x0D;
115.         ulSpecialDataSize = 3;
117.         // 根据特征码获取地址
118.         pCallbackListHeadAddress = SearchCallbackListHead(pSpecialData, ulSpecialDataSize, lSpecialOffset);
120.         DbgPrint("[LyShark.com] CallbackListHead => %p \n", pCallbackListHeadAddress);
122.         Driver->DriverUnload = UnDriver;
123.         return STATUS_SUCCESS;
124. }

复制代码

运行这段代码，并可得到注册表回调入口地址，输出效果如下所示：

得到了注册表回调入口地址，接着直接循环遍历输出这个链表即可得到所有的注册表回调。

1. // 署名权
2. // right to sign one's name on a piece of work
3. // PowerBy: LyShark
4. // Email: me@lyshark.com
6. #include <ntifs.h>
7. #include <windef.h>
9. // 指定内存区域的特征码扫描
10. // PowerBy: LyShark.com
11. PVOID SearchMemory(PVOID pStartAddress, PVOID pEndAddress, PUCHAR pMemoryData, ULONG ulMemoryDataSize)
12. {
13.         PVOID pAddress = NULL;
14.         PUCHAR i = NULL;
15.         ULONG m = 0;
17.         // 扫描内存
18.         for (i = (PUCHAR)pStartAddress; i < (PUCHAR)pEndAddress; i++)
19.         {
20.                 // 判断特征码
21.                 for (m = 0; m < ulMemoryDataSize; m++)
22.                 {
23.                         if (*(PUCHAR)(i + m) != pMemoryData[m])
24.                         {
25.                                 break;
26.                         }
27.                 }
28.                 // 判断是否找到符合特征码的地址
29.                 if (m >= ulMemoryDataSize)
30.                 {
31.                         // 找到特征码位置, 获取紧接着特征码的下一地址
32.                         pAddress = (PVOID)(i + ulMemoryDataSize);
33.                         break;
34.                 }
35.         }
37.         return pAddress;
38. }
40. // 根据特征码获取 CallbackListHead 链表地址
41. // PowerBy: LyShark.com
42. PVOID SearchCallbackListHead(PUCHAR pSpecialData, ULONG ulSpecialDataSize, LONG lSpecialOffset)
43. {
44.         UNICODE_STRING ustrFuncName;
45.         PVOID pAddress = NULL;
46.         LONG lOffset = 0;
47.         PVOID pCmUnRegisterCallback = NULL;
48.         PVOID pCallbackListHead = NULL;
50.         // 先获取 CmUnRegisterCallback 函数地址
51.         RtlInitUnicodeString(&ustrFuncName, L"CmUnRegisterCallback");
52.         pCmUnRegisterCallback = MmGetSystemRoutineAddress(&ustrFuncName);
53.         if (NULL == pCmUnRegisterCallback)
54.         {
55.                 return pCallbackListHead;
56.         }
58.         // 查找 fffff806`3a4271b3 488d0d06eac3ff  lea     rcx,[nt!CallbackListHead (fffff806`3a065bc0)]
59.         /*
60.         lyshark.com>
61.                 nt!CmUnRegisterCallback+0x6b:
62.                 fffff806`3a4271ab 4533c0          xor     r8d,r8d
63.                 fffff806`3a4271ae 488d542438      lea     rdx,[rsp+38h]
64.                 fffff806`3a4271b3 488d0d06eac3ff  lea     rcx,[nt!CallbackListHead (fffff806`3a065bc0)]
65.                 fffff806`3a4271ba e855e2e2ff      call    nt!CmListGetNextElement (fffff806`3a255414)
66.                 fffff806`3a4271bf 488bf8          mov     rdi,rax
67.                 fffff806`3a4271c2 4889442440      mov     qword ptr [rsp+40h],rax
68.                 fffff806`3a4271c7 4885c0          test    rax,rax
69.                 fffff806`3a4271ca 0f84c7000000    je      nt!CmUnRegisterCallback+0x157 (fffff806`3a427297)  Branch
70.         */
71.         pAddress = SearchMemory(pCmUnRegisterCallback, (PVOID)((PUCHAR)pCmUnRegisterCallback + 0xFF), pSpecialData, ulSpecialDataSize);
72.         if (NULL == pAddress)
73.         {
74.                 return pCallbackListHead;
75.         }
77.         // 先获取偏移再计算地址
78.         lOffset = *(PLONG)((PUCHAR)pAddress + lSpecialOffset);
79.         pCallbackListHead = (PVOID)((PUCHAR)pAddress + lSpecialOffset + sizeof(LONG) + lOffset);
81.         return pCallbackListHead;
82. }
84. // 注册表回调函数结构体定义
85. typedef struct _CM_NOTIFY_ENTRY
86. {
87.         LIST_ENTRY  ListEntryHead;
88.         ULONG   UnKnown1;
89.         ULONG   UnKnown2;
90.         LARGE_INTEGER Cookie;
91.         PVOID   Context;
92.         PVOID   Function;
93. }CM_NOTIFY_ENTRY, *PCM_NOTIFY_ENTRY;
95. VOID UnDriver(PDRIVER_OBJECT Driver)
96. {
97. }
99. NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
100. {
101.         PVOID pCallbackListHeadAddress = NULL;
102.         RTL_OSVERSIONINFOW osInfo = { 0 };
103.         UCHAR pSpecialData[50] = { 0 };
104.         ULONG ulSpecialDataSize = 0;
105.         LONG lSpecialOffset = 0;
107.         DbgPrint("hello lyshark.com \n");
109.         // 查找 fffff806`3a4271b3 488d0d06eac3ff  lea     rcx,[nt!CallbackListHead (fffff806`3a065bc0)]
110.         /*
111.         lyshark.com>
112.         nt!CmUnRegisterCallback+0x6b:
113.         fffff806`3a4271ab 4533c0          xor     r8d,r8d
114.         fffff806`3a4271ae 488d542438      lea     rdx,[rsp+38h]
115.         fffff806`3a4271b3 488d0d06eac3ff  lea     rcx,[nt!CallbackListHead (fffff806`3a065bc0)]
116.         fffff806`3a4271ba e855e2e2ff      call    nt!CmListGetNextElement (fffff806`3a255414)
117.         fffff806`3a4271bf 488bf8          mov     rdi,rax
118.         fffff806`3a4271c2 4889442440      mov     qword ptr [rsp+40h],rax
119.         fffff806`3a4271c7 4885c0          test    rax,rax
120.         fffff806`3a4271ca 0f84c7000000    je      nt!CmUnRegisterCallback+0x157 (fffff806`3a427297)  Branch
121.         */
122.         pSpecialData[0] = 0x48;
123.         pSpecialData[1] = 0x8D;
124.         pSpecialData[2] = 0x0D;
125.         ulSpecialDataSize = 3;
127.         // 根据特征码获取地址
128.         pCallbackListHeadAddress = SearchCallbackListHead(pSpecialData, ulSpecialDataSize, lSpecialOffset);
130.         DbgPrint("[LyShark.com] CallbackListHead => %p \n", pCallbackListHeadAddress);
132.         // 遍历链表结构
133.         ULONG i = 0;
134.         PCM_NOTIFY_ENTRY pNotifyEntry = NULL;
136.         if (NULL == pCallbackListHeadAddress)
137.         {
138.                 return FALSE;
139.         }
141.         // 开始遍历双向链表
142.         pNotifyEntry = (PCM_NOTIFY_ENTRY)pCallbackListHeadAddress;
143.         do
144.         {
145.                 // 判断pNotifyEntry地址是否有效
146.                 if (FALSE == MmIsAddressValid(pNotifyEntry))
147.                 {
148.                         break;
149.                 }
150.                 // 判断回调函数地址是否有效
151.                 if (MmIsAddressValid(pNotifyEntry->Function))
152.                 {
153.                         DbgPrint("[LyShark.com] 回调函数地址: 0x%p | 回调函数Cookie: 0x%I64X \n", pNotifyEntry->Function, pNotifyEntry->Cookie.QuadPart);
154.                 }
156.                 // 获取下一链表
157.                 pNotifyEntry = (PCM_NOTIFY_ENTRY)pNotifyEntry->ListEntryHead.Flink;
159.         } while (pCallbackListHeadAddress != (PVOID)pNotifyEntry);
161.         Driver->DriverUnload = UnDriver;
162.         return STATUS_SUCCESS;
163. }

复制代码

最终运行这个驱动程序，输出如下效果：

目前系统中有两个回调函数，这一点在第一张图片中也可以得到，枚举是正确的。

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！

继续阅读请点击广告