windows deep internals: марта 2012

суббота, 31 марта 2012 г.

NtPlugPlayControl

This poorly documented function can serves as silently communication channel between UM & KM. Let see how it works (code was borrowed from w8 dev preview 64bit)



  cmp     r15d, 17h ; check

PnPControlClass

  jnb     loc_1405C73D5 ; return STATUS_INVALID_PARAMETER_1

  mov     r14, r15

  lea     rcx, PlugPlayHandlerTable ; located in writable PAGEDATA section

  shl     r14, 4        ; PnPControlClass << 4

  add     r14, rcx      ; get record describing this

PnPControlClass
cmp [r14], r15d ; field at offset 0 - PnPControlClass

  jnz     loc_1405C73CB ; return STATUS_INTERNAL_ERROR

  test    r14, r14      ; I don`t know for what this paranoid check

  jz      loc_1405C73D5 ; return STATUS_INVALID_PARAMETER_1

  cmp     qword ptr [r14+8], 0 ; Gotcha ! This is pointer to function

  jz      loc_1405C7304 ; return STATUS_NOT_IMPLEMENTED

  cmp     [r14+4], ebp    ; field at offset 4 - PnPControlDataLength

  jnz     loc_1405C730E ; return STATUS_INVALID_PARAMETER_MIX

  ...

  mov     r8d, ebp  ; PnPControlDataLength

  mov     rdx, rbx  ; PnPControlData

  mov     ecx, r15d ; PnPControlClass

  call    qword ptr [r14+8] ; call handler by pointer

The main problem with this code is that it calls function by pointer which located in writable PAGEDATA section. Also this section is not checking by PatchGuard. So you can rewrite some unused handler (and perhaps length of PnPControlDataLength) and call PnPControlClass with patched PnPControlClass to pass some data to code in KM.
Actually there is a lot of unused entries in PlugPlayHandlerTable - on w8 dev preview it contains only 8 handlers:

PiControlStartDevice for code 4
PiControlQueryAndRemoveDevice for code 6
PiControlGetPropertyData for code 0xA
PiControlGetRelatedDevice for code 0xC
PiControlGetSetDeviceStatus for code 0xE
PiControlGetDeviceDepth for code 0xF
PiControlQueryDeviceRelations for code 0x10
PiControlQueryConflictList for code 0x12

Only drawback of this hole - your usermode code must held SeTcbPrivilege before calling NtPlugPlayControl

wincheck rc8.11

Download mirror
Changelog:

-wmi option now works on w8 consumer preview (both 32/64)
lots names of wmi guids was added
added checking of PEB.PostProcessInitRoutine
some bugs was fixed

среда, 28 марта 2012 г.

EtwEventRegister on w8 consumer preview

I described already organization of internal data structures for this function on vista/windows 7
Unfortunately on windows 8 consumer preview all was changed.
Now all registered items storing in red-black tree whose root placed in EtwpRegistrationTable

Some excerpts from ntdll.pdb:
struct _RTL_RB_TREE {
struct _RTL_BALANCED_NODE* Root;
struct _RTL_BALANCED_NODE* Min;
};

Node of this tree looks like
struct _RTL_BALANCED_NODE {
struct _RTL_BALANCED_NODE* Left;
struct _RTL_BALANCED_NODE* Right;
unsigned long ParentValue;
};

As usually we can partially recover event registrations structure from function EtwpAllocateRegistration.I intentionally omitted unimportant details:

struct EtwRegEntry_w8cons

{

/* Win32 Win64 - offsets */

/*   0x0   0x0 */ struct _RTL_BALANCED_NODE Node;

/* Etw reg entry  */

/*   0xC  0x20 */ GUID  ProviderId;

/*  0x28  0x48 */ PVOID InternalCallback;

/*  0x2C  0x50 */ PVOID CallbackContext;

/*  0x34  0x5C */ WORD  Index;

/*  0x36  0x5E */ WORD  Type;

};

As before Type eq 3 if this item was allocated from function EtwEventRegister and 2 if from EtwRegisterTraceGuids[AW]
All operations on EtwpRegistrationTable must be synchronized with SRW lock EtwpProvLock
Sample of output on w8 64bit (deep-first traversing of tree was used):

суббота, 31 марта 2012 г.

среда, 28 марта 2012 г.

воскресенье, 25 марта 2012 г.

суббота, 24 марта 2012 г.

пятница, 23 марта 2012 г.

понедельник, 19 марта 2012 г.

воскресенье, 18 марта 2012 г.

суббота, 17 марта 2012 г.

среда, 14 марта 2012 г.

понедельник, 12 марта 2012 г.

суббота, 10 марта 2012 г.

пятница, 9 марта 2012 г.

четверг, 8 марта 2012 г.

среда, 7 марта 2012 г.

понедельник, 5 марта 2012 г.

воскресенье, 4 марта 2012 г.

суббота, 3 марта 2012 г.

Requirements

Getting sources

Building

Installing

Tuning

пятница, 2 марта 2012 г.

суббота, 31 марта 2012 г.

среда, 28 марта 2012 г.

воскресенье, 25 марта 2012 г.

суббота, 24 марта 2012 г.

пятница, 23 марта 2012 г.

понедельник, 19 марта 2012 г.

воскресенье, 18 марта 2012 г.

суббота, 17 марта 2012 г.

среда, 14 марта 2012 г.

понедельник, 12 марта 2012 г.

суббота, 10 марта 2012 г.

пятница, 9 марта 2012 г.

четверг, 8 марта 2012 г.

среда, 7 марта 2012 г.

понедельник, 5 марта 2012 г.

воскресенье, 4 марта 2012 г.

суббота, 3 марта 2012 г.

пятница, 2 марта 2012 г.