Hook 系统服务隐藏端口

《Hook 系统服务隐藏端口》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、Hook系统服务隐藏端口Hook系统服务隐藏端口创建时间：2004-04-07更新时间：2004-04-11文章属性：原创文章提交：jiurl(jiurl_at_mail.china.com)Hook系统服务隐藏端口作者:JIURL主页:http://jiurl.yeah.net日期:2004-03-30有时候写程序，调试程序真是一件非常有趣的事，就比如这次，蹦蹦跳跳，笑嘻嘻，意犹未尽的就把这个程序搞好了。netstat或者其他各种列举端口的工具，比如fport,或者sysinternals的Tcpview，都是调用Iphlpapi.dll中的API来完成端口的列举。而Iphlp

2、api.dll中的API最终是使用ZwDeviceIoControlFile，向设备对象DeviceTcp发IOCTL_TCP_QUERY_INFORMATION_EX来得到各种信息的。于是我们只要Hook相应的SystemService，然后对得到的结果做一些处理，弄掉不希望出现的端口信息就可以了。不过真正的问题在于，IOCTL_TCP_QUERY_INFORMATION_EX和端口相关的各种结构定义，参数含义目前都（大部分）是未公开，没人知道的，也就是Undocumented的。Undocumented??ring3调试，我熟啊。ring0调试，我熟啊。Windows驱动，

3、我熟啊。Windows系统，我熟啊。我怕谁啊我。Undocumented??爽，要的就是Undocumented。通过ring3调试，分析Iphlpapi.dll是如何使用IOCTL_TCP_QUERY_INFORMATION_EX相关的各种参数，结合msdn中的一些信息，于是很轻松的搞清了需要了解的结构。用我自己写的awx建一个VC的驱动项目，写好了Hook部分。关于本例中使用的解决Hook在各种Windows版本下运行的方法，在很多地方很多地方都出现了，我不清楚最早是谁想出来的，我是在《UndocumentedWindowsNT》一书的源码中第一次看到这种方法的。下面是实现源

4、码，很简单，我就不多说什么了。#if0//================================================================Copyright(c)JIURL,AllRightsReserved========================================================================/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/ModuleName:Jiurl_tcpioctl.hAbo

5、ut:-这个驱动项目由一个我写的AppWizard创建。[HomePage]http://jiurl.yeah.net~~~~~~~~~~~~~~~~~~~~~[Email]jiurl@mail.china.com~~~~~~~~~~~~~~~~~~~~[Forum]http://jiurl.cosoft.org.cn/forum/index.php~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~-有偿定制AppWizard，请发邮件联系。Comments:本文件中的所有内容目前都是未公开的，由我分析得出，是隐藏端口的关键内容。Undocume

6、nted??爽!要的就是Undocumented。/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/*/#endif//jiurl//IPSNMPInfo结构的定义是根据RFC2011//jiurl//所以我根据RFC2022，仿IPSNMPInfo，定义结构TCPSNMPInfo//jiurl//再通过一些分析得到一些扩展部分的定义typedefstructTCPSNMPInfo{ULONGtcpsi_RtoAlgorithm;ULONGtcpsi_RtoMin;ULONGtcpsi_Rto

7、Max;ULONGtcpsi_MaxConn;ULONGtcpsi_ActiveOpens;ULONGtcpsi_PassiveOpens;ULONGtcpsi_AttemptFails;ULONGtcpsi_EstabResets;ULONGtcpsi_CurrEstab;ULONGtcpsi_InSegs;ULONGtcpsi_OutSegs;ULONGtcpsi_RetransSegs;ULONGtcpsi_unknown1;ULONGtcpsi_unknown2;ULON