基于线程调度链表的检测和隐藏技术

基于线程调度链表的检测和隐藏技术

1.       什么是ETHREAD和KTHREAD块

Windows2000是由执行程序线程（ETHREAD）块表示的，ETHREAD成员都是指向的系统空

间，进程环境块（TEB）除外。ETHREAD块中的第一个结构体就是内核线程（KTHREAD）块。在KTHREAD块中包含了windows2000内核需要访问的信息。这些信息用于执行线程的调度和同步正在运行的线程。

kd> !kthread

struct   _KTHREAD (sizeof=432)

+000 struct   _DISPATCHER_HEADER Header

+010 struct   _LIST_ENTRY MutantListHead

+018 void     *InitialStack

+01c void     *StackLimit

+020 void     *Teb

+024 void     *TlsArray

+028 void     *KernelStack

+02c byte     DebugActive

+02d byte     State

+02e byte     Alerted[2]

+030 byte     Iopl

+031 byte     NpxState

+032 char     Saturation

+033 char     Priority

+034 struct   _KAPC_STATE ApcState

+034    struct   _LIST_ENTRY ApcListHead[2]

+044    struct   _KPROCESS *Process

+04c uint32   ContextSwitches

+050 int32    WaitStatus

+054 byte     WaitIrql

+055 char     WaitMode

+056 byte     WaitNext

+057 byte     WaitReason

+058 struct   _KWAIT_BLOCK *WaitBlockList

+05c struct   _LIST_ENTRY WaitListEntry

+064 uint32   WaitTime

+068 char     BasePriority

+069 byte     DecrementCount

+06a char     PriorityDecrement

+06b char     Quantum

+06c struct   _KWAIT_BLOCK WaitBlock[4]

+0cc void     *LegoData

+0d0 uint32   KernelApcDisable

+0d4 uint32   UserAffinity

+0d8 byte     SystemAffinityActive

+0d9 byte     PowerState

+0da byte     NpxIrql

+0db byte     Pad[1]

+0dc void     *ServiceTable

+0e0 struct   _KQUEUE *Queue

+0e4 uint32   ApcQueueLock

+0e8 struct  _KTIMER Timer

+110 struct   _LIST_ENTRY QueueListEntry

+118 uint32   Affinity

+11c byte     Preempted

+11d byte     ProcessReadyQueue

+11e byte     KernelStackResident

+11f byte     NextProcessor

+120 void     *CallbackStack

+124 void     *Win32Thread

+128 struct   _KTRAP_FRAME *TrapFrame

+12c struct   _KAPC_STATE *ApcStatePointer[2]

+134 char     PreviousMode

+135 byte     EnableStackSwap

+136 byte     LargeStack

+137 byte     ResourceIndex

+138 uint32   KernelTime

+13c uint32   UserTime

+140 struct   _KAPC_STATE SavedApcState

+158 byte     Alertable

+159 byte     ApcStateIndex

+15a byte     ApcQueueable

+15b byte     AutoAlignment

+15c void     *StackBase

+160 struct   _KAPC SuspendApc

+190 struct   _KSEMAPHORE SuspendSemaphore

+1a4 struct   _LIST_ENTRY ThreadListEntry

+1ac char     FreezeCount

+1ad char     SuspendCount

+1ae byte     IdealProcessor

+1af byte     DisableBoost

在偏移0x5c处有一个WaitListEntry成员，这个就是用来链接到线程调度链表的。在偏移0x34处有一个ApcState成员结构，在ApcState中的Process域就是指向当前线程关联的进程的KPROCESS块，由于KPROCESS块是EPROCESS块的第一个元素，所以找到了KPROCESS块指针也就是找到了EPROCESS块的指针。找到了EPROCESS就不用多少了，就可以取得当前线程的进程的名字，ID号等。

2.       线程调度

在windows系统中，线程调度主要分成三条主要的调度链表。分别是KiWaitInListHead，

KiWaitOutListhead，KiDispatcherReadyListHead，分别是两条阻塞链，一条就绪链表，当线程获得CPU执行的时候，系统分配一个时间片给线程，当发生一次时钟中断就从分配的时间片上减去一个时钟中断的值，如果这个值小于零了也就是时间片用完了，那么这个线程根据其优先级载入到相应的就绪队列末尾。KiDispatcherReadyListHead是一个数组链的头部，在windows 2000中它包含有32个队列，分别对应线程的32个优先级。如果线程因为同步，或者是对外设请求，那么阻塞线程，让出CPU的所有权，加如到阻塞队列里面去。CPU从就绪队列里面，按照优先权的前后，重新调度新的线程的执行。当阻塞队列里面的线程获得所需求的资源，或者是同步完成就又重新加到就绪队列里面等待执行。

3.       通过线程调度链表进行隐藏进程的检测

void DisplayList(PLIST_ENTRY ListHead)

{

    PLIST_ENTRY List = ListHead->Flink;

    if ( List == ListHead )

    {

    // DbgPrint("return\n");

        return;

    }

    PLIST_ENTRY NextList = List;

    while ( NextList != ListHead )

    {

        PKTHREAD Thread = ONTAINING_RECORD(NextList, KTHREAD, WaitListEntry);

        PKPROCESS Process = Thread->ApcState.Process;

        PEPROCESS pEprocess = (PEPROCESS)Process;

        DbgPrint("ImageFileName = %s \n",pEprocess->ImageFileName);

        NextList = NextList->Flink;

    }

}

以上是对一条链进行进程枚举。所以我们必须找到KiWaitInListHead，KiWaitOutListhead，KiDispatcherReadyListHead的地址，由于他们都没有被ntoskrnl.exe导出来，所以只有通过硬编码的办法给他们赋值。通过内核调试器，能找到（windows2000 sp4）:

PLIST_ENTRY KiWaitInListHead =          (PLIST_ENTRY)0x80482258;

PLIST_ENTRY KiDispatcherReadyListHead = (PLIST_ENTRY)0x804822e0;

PLIST_ENTRY KiWaitOutListhead =         (PLIST_ENTRY)0x80482808;

遍历所有的线程调度链表。

for ( i =0; i<32 ;i++ )

{

    DisplayList(KiDispatcherReadyListHead+i);

}

DisplayList(KiWaitInListHead);

DisplayList(KiWaitOutListhead);