Перехват (программирование)

Эта статья нуждается в переработке. Пожалуйста, улучшите статью в соответствии с правилами написания статей.

Перехват (англ. hooking) — технология, позволяющая изменить стандартное поведение тех или иных компонентов информационной системы.

Очень часто в системном программировании возникает задача изменения стандартного поведения системных функций. Например довольно интересным применением данной технологии является переопределение оконной процедуры у GUI приложений Windows (сабклассинг). Это нужно, если программист хочет организовать собственную обработку какого-либо оконного сообщения и только потом передать стандартной оконной процедуре. После сабклассинга цикл обработки сообщений будет выглядеть так:

• До сабклассинга: [Сообщение Windows]->[Окно (оконная процедура)]

• После: [Сообщение Windows]->[Наша оконная процедура]->[Окно (оконная процедура)]

Например, в уроках Iczelion’а^[1] описан пример того, как сабклассинг может использоваться для организации контроля ввода в элементы управления. Технологии перехвата нужны не только в этом случае, но и, например, для предварительной обработки результатов системных функций поиска файлов FindFirst и FindNext, EnumProcess, которая перечисляет процессы в Windows и т. д. Причем в этих целях такие технологии применяют как антивирусные средства^[2], так и различного рода вирусы, руткиты и прочие виды вредоносного программного обеспечения.

Очень часто перехват бывает важен для организации отладки программ и является одной из основных технологий, применяемых в отладчиках. В данном случае эта технология позволяет одной программе контролировать выполнение другой. Для этих целей предусмотрен системный вызов ptrace, который позволяет подключаться к процессам, отслеживать значения регистров у контекста отлаживаемого процесса и в том числе контролировать другие системные вызовы. Он является основой для реализации такой возможности отладчиков как точки останова. Данный системный вызов хорошо документирован и присутствует во всех главных *nix системах: Linux, FreeBSD, Solaris.^[3] Чаще всего используется совместно с системным вызовом fork, который и вызывает ptrace, указывая в параметрах вызова, что запускаемый процесс — дочерний. Microsoft Windows также предоставляет для похожих целей т. н. Debug API^[4].

Основными методами перехвата являются:

• Подмена адреса настоящей функции (модификация IAT таблиц, модификация SSDT/IDT таблиц)
• Непосредственное изменение функции (сплайсинг, перехват в режиме ядра с модификацией тела функции)
• Непосредственная подмена всего компонента приложения/системы (например библиотеки с целевой функцией)

Методы можно также разделить по критерию режима выполнения:

• Пользовательские (ring3) методы: модификация IAT таблиц, сплайсинг. Их особенность в том, что невозможно что-либо изменить в поведении ядра операционной системы и его расширений.
• Режима ядра: модификация SSDT/IDT таблиц, перехват в режиме ядра с модификацией тела функции. Позволяет модифицировать структуры данных и код любой части операционной системы и приложений.

Сплайсинг (англиц. от splicing «сращивание; склеивание») — метод перехвата API функций путём изменения кода целевой функции. Обычно изменяются первые 5 байт функции. Вместо них вставляется переход на функцию, которую определяет программист. Чтобы обеспечить корректность выполнения операции, приложение, которое перехватывает функцию, обязано дать возможность выполниться коду, который был изменён в результате сплайсинга. Для этого приложение сохраняет заменяемый участок памяти у себя, а после отработки функции перехвата восстанавливает изменённый участок функции и дает полностью выполниться настоящей функции.^[5]

Все функции стандартных DLL Windows поддерживают hot-patch point. При использовании этой технологии перед началом функции располагаются пять неиспользуемых однобайтовых операций nop, сама же функция начинается с двухбайтовой инструкции mov edi, edi. Места, занимаемого пятью nop, достаточно, чтобы разместить команду перехода на функцию-перехватчик. Два байта, занимаемых mov edi, edi, предоставляют достаточно места для команды перехода на код, размещенный на месте пяти nop. При этом, так как инструкция mov edi, edi не выполняет никаких осмысленных действий, её затирание никак не влияет на работоспособность исходной функции. Таким образом программист освобождается от необходимости где-либо сохранять исходное значение изменённого им кода^[6].

Он применяется:

• В ПО, которому необходимо осуществлять функции мониторинга системы
• Механизмом хуков в Windows
• Различного рода вредоносными программами. Это основная технология сокрытия для руткитов пользовательского уровня

Основной метод обнаружения факта сплайсинга — это сравнение машинного кода функции, проверяемой на сплайсинг, и кода системной функции, полученного в заведомо чистой системе. Также в обнаружении сплайсинга функции может помочь контроль адресов перехода.

• Изменение IAT таблиц процесса^[7]. Данная технология не позволяет изменить поведение самой системной функции, а лишь дает возможность «обмануть» выбранное приложение, заставив его использовать вашу функцию. IAT таблица — таблица адресов функций, импортируемых процессом. Технология носит лишь локальный характер, хотя может быть применена сразу к группе приложений. Может быть довольно быстро обнаружена из-за необходимости загрузки DLL^[8] в адресное пространство целевого процесса. Сплайсинг же не требует DLL и внедрения в чужой процесс, обладает возможностью глобального захвата функции. У сплайсинга есть ещё одно преимущество: не все системные функции импортируются процессом через IAT. Например, функция может быть загружена вызовом GetProcAddress. Использование же непосредственной модификации кода функции снимает подобное ограничение.
• Перехват в режиме ядра. Позволяет перехватывать любые функции, в том числе и экспортируемые ядром. Наиболее труден для обнаружения в случае успеха, так как позволяет фальсифицировать любые данные, предоставляемые операционной системой. Требует написания специального компонента для взаимодействия с ядром драйвера. Может привести к BSOD при неправильном программировании в режиме ядра. Может быть обнаружен на фазе загрузки драйвера в ядро или при проверке активных драйверов, а также при проверке ядра на изменения^[9]. Более трудный в программировании метод, чем сплайсинг, но более гибкий, так как позволяет перехватить функции самого ядра, а не только WinAPI функции, которые служат лишь посредником между ядром и программой, которая что-либо запрашивает у операционной системы.
• Замена самой библиотеки с функцией. Весьма радикальное решение проблемы, обладающее рядом существенных недостатков:

1. Требует замены файла на диске, что может быть запрещено и пресечено самой системой. Например, замену системных файлов Windows не позволит выполнить защита файлов Windows (WFP), хотя её можно и отключить. Такое действие может быть также обнаружено при статическом анализе системы ревизорами.
2. Требуется полная эмуляция всех возможностей заменяемой DLL или иного компонента, что весьма трудоемко даже в случае открытости и осложняется необходимостью дизассемблирования в случае закрытости целевой программы.

Все это показывает, что это весьма нерациональный способ решения проблемы изменения поведения программы в случае возможности применения первых двух подходов или сплайсинга.

Он основан на модификации структур данных ядра и функций. Главными мишенями воздействия являются таблицы

• IDT Таблица диспетчеризации прерываний. Довольно важным для перехвата является прерывание, обрабатывающее обращение к таблице служб SSDT (0x2E)^[10].
• SSDT (System Service Descriptor Table) Таблица диспетчеризации системных сервисов. Обращаясь к ней, система по номеру запрошенного сервиса может получить адрес соответствующего сервиса ядра и вызвать его. А таблица SSPT содержит общий размер параметров, передаваемых системному сервису.
• psActiveprocess Структура ядра, хранящая список процессов в системе.
• IRP Таблица драйвера, которая хранит указатели на функции обработки IRP-пакетов.
• EPROCESS Структура ядра, хранящая большое количество информации о процессе, включая, например, PID (идентификатор процесса).

Такого рода руткиты называются DKOM-руткитами, то есть руткитами, основанными на непосредственной модификации объектов ядра. В руткитах для систем Windows Server 2003 и XP эта технология была модернизирована, так как в этих ОС появилась защита от записи некоторых областей памяти ядра^[10]. Windows Vista и 7 получили дополнительную защиту ядра PatchGuard, однако все эти технологии были преодолены руткитописателями^[11]. В то же время перехват системных функций в режиме ядра — основа проактивных систем защиты и гипервизоров.

Можно выделить и другие формы перехвата:

• Перехват сетевых соединений и пакетов.^[12]
• Перехват паролей. Например, при помощи шпионажа за клавиатурным вводом при помощи кейлоггера.
• Перехват обращений браузера к сайтам при помощи HTTP Proxy или расширений браузера. Позволяет проанализировать и/или подменить данные, которыми обмениваются браузер и сервер.

Здесь описана лишь часть применений данной технологии.

• Гипервизор XEN
• Утилиты Марка Руссиновича FileMon, RegMon, Process Explorer
• Руткит Rustock.C

using System; using System.Collections; using System.Diagnostics; using System.Runtime.InteropServices;  namespace Hooks { 	public class KeyHook 	{ 		#region Member variables 		protected static int hook; 		protected static LowLevelKeyboardDelegate dele; 		protected static readonly object Lock = new object(); 		protected static bool isRegistered = false; 		#endregion 		 		#region Dll Imports 		[DllImport("user32")]  		private static extern Int32 SetWindowsHookEx(Int32 idHook,  LowLevelKeyboardDelegate lpfn,  			Int32 hmod, Int32 dwThreadId);            		[DllImport("user32")]          		private static extern Int32 CallNextHookEx(Int32 hHook, Int32 nCode, Int32 wParam, KBDLLHOOKSTRUCT lParam);  		[DllImport("user32")]  		private static extern Int32 UnhookWindowsHookEx(Int32 hHook);  		#endregion 		 		#region  Type Definitions & Constants 		protected delegate Int32 LowLevelKeyboardDelegate(Int32 nCode, Int32 wParam, ref KBDLLHOOKSTRUCT lParam);  		private const Int32 HC_ACTION = 0;  		private const Int32 WM_KEYDOWN = 0x0100; 		private const Int32 WM_KEYUP = 0x0101; 		private const Int32 WH_KEYBOARD_LL = 13;  		#endregion           		[StructLayout(LayoutKind.Sequential)] 		public struct KBDLLHOOKSTRUCT  		{  			public int vkCode;  			public int scanCode;  			public int flags;  			public int time;  			public int dwExtraInfo;  		}  		  		static private Int32 LowLevelKeyboardHandler(Int32 nCode, Int32 wParam, ref KBDLLHOOKSTRUCT lParam)  		{  	 			if (nCode == HC_ACTION)  			{ 				if (wParam == WM_KEYDOWN) 					System.Console.Out.WriteLine("Key Down: " + lParam.vkCode); 				else if (wParam == WM_KEYUP) 					System.Console.Out.WriteLine("Key Up: " + lParam.vkCode); 			} 			return CallNextHookEx(0, nCode, wParam, lParam);  		}  		 		 		public static bool RegisterHook() 		{	 			lock(Lock) 			{ 				if(isRegistered) 					return true; 				dele = new LowLevelKeyboardDelegate(LowLevelKeyboardHandler); 				hook = SetWindowsHookEx( 					WH_KEYBOARD_LL, dele,  					Marshal.GetHINSTANCE( 						System.Reflection.Assembly.GetExecutingAssembly().GetModules()[0] 					).ToInt32(),0 				);  			 				if(hook != 0) 					return isRegistered = true; 				else 				{ 					dele= null; 					return  false; 				} 			} 		}  		public static bool UnregisterHook() 		{ 			lock(Lock) 			{ 				return isRegistered = (UnhookWindowsHookEx(hook) != 0); 			} 		}  	} } 

#include <linux/module.h> #include <linux/kernel.h> #include <linux/skbuff.h>  #include <linux/ip.h> #include <linux/tcp.h> #include <linux/in.h> #include <linux/netfilter.h> #include <linux/netfilter_ipv4.h>  /* Port we want to drop packets on */ static const uint16_t port = 25;  /* This is the hook function itself */ static unsigned int hook_func(unsigned int hooknum,                        struct sk_buff **pskb,                        const struct net_device *in,                        const struct net_device *out,                        int (*okfn)(struct sk_buff *)) {         struct iphdr *iph = ip_hdr(*pskb);         struct tcphdr *tcph, tcpbuf;          if (iph->protocol != IPPROTO_TCP)                 return NF_ACCEPT;          tcph = skb_header_pointer(*pskb, ip_hdrlen(*pskb), sizeof(*tcph), &tcpbuf);         if (tcph == NULL)                 return NF_ACCEPT;          return (tcph->dest == port) ? NF_DROP : NF_ACCEPT; }  /* Used to register our hook function */ static struct nf_hook_ops nfho = {         .hook     = hook_func,         .hooknum  = NF_IP_PRE_ROUTING,         .pf       = NFPROTO_IPV4,         .priority = NF_IP_PRI_FIRST, };  static __init int my_init(void) {         return nf_register_hook(&nfho); }  static __exit void my_exit(void) {     nf_unregister_hook(&nfho); }  module_init(my_init); module_exit(my_exit); 

• Отладчик
• Отладчик ядра
• Ассемблер
• Руткит
• Компьютерный вирус
• Сабклассинг

• Джеффри Рихтер. Программирование на языке Visual C++ = Windows via C/C++. — СПб.: Питер, 2010. — С. 689-728. — ISBN 978-5-7502-0367-3.
• Хогланд, Грег, Батлер Дж. Руткиты: внедрение в ядро Windows = Rootkits.Subverting the Windows kernel. — СПб.: Питер, 2010. — С. 36-58,77-129. — ISBN 978-5-469-01409-6.

• Цикл статей по перехвату функций от Ms Rem
• Слежение за вызовами Native API
• Туториалы Iczelion’а о Win32 API
• Убийство часового КРИС КАСПЕРСКИ, АКА МЫЩЪХ Спецвыпуск: Хакер, номер #072, стр. 072-072-5
• Сплайсинг WinAPI с использованием Си и MASM

Для улучшения этой статьи желательно: Проставить сноски, внести более точные указания на источники. После исправления проблемы исключите её из списка. Удалите шаблон, если устранены все недостатки.