冰河暗涌防不胜防 BIOS下实现的Telnet后门

nsiz

NT内核被加载高端的2GB内存(80000000h~0ffffffffh)。参看NT内存安排..
a、win2k adv ser:   WINDBG 看到 NT Kernel base = 0x80400000 也就是NTOSKRNL.exe加载位置
         kd> r @cr3      ;断点位置在NTOSKRNL.exe里现在还没有应用程序故低端内存还未使用
              cr3=00030000 ;->页目录表所在物理页(物理地址30000h)
          kd> d 80030000 80030800  ;看页目录发现现在低端2GB(0~80000000h)还未分配
              80030000  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
              80030010  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
              80030020  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
                  
          kd> d 80030800           ;看高端开始分配情况页表(80000000h开始的分配情况)
              80030800  63 21 03 00 63 41 03 00-63 51 03 00 63 31 03 00  c!..cA..cQ..c1..
              80030810  63 11 7c 00 63 21 7c 00-63 31 7c 00 63 41 7c 00  c.|.c!|.c1|.cA|.
              80030820  63 51 7c 00 63 61 7c 00-63 71 7c 00 63 81 7c 00  cQ|.ca|.cq|.c.|.
          ;实例1:看80400000h(NT Kernel base),这个线性地址到物理地址映射情况.
              ;线性地址最高10位页目录项(每项占4Byte):80400000h最高10位=201h.
              ;在页目表位置:201h*4=804h 在内存地址=[cr3]+804h..具体看保护模式教程
              kd> d 80030000+804 ;看在页目录表位置的值
                80030804  63 41 03 00 63 51 03 00-63 31 03 00 63 11 7c 00  cA..cQ..c1..c.|.

              ;二级页表所在物理页地址:63 41 03 00转换下34163h,物理页地址:34000h,163h是页属性.
              kd> d 80034000     ;看在页表的值
                80034000  63 01 40 00 63 11 40 00-63 21 40 00 63 31 40 00  c.@.c.@.c!@.c1@.

              ;物理地址基址：63 01 40 00转换下400163h,#物理地址基址#:400000h,163h是页属性
              ;最后发现物理地址基址(页地址)在400000h..观察物理地址400000h是NTOSKRNL.exe映像.

              kd> d 80400000 ;观察物理地址400000h
                80400000  4d 5a 90 00 03 00 00 00-04 00 00 00 ff ff 00 00  MZ..............
                80400010  b8 00 00 00 00 00 00 00-40 00 00 00 00 00 00 00  ........@.......

         ;实例2:看我们代码映射情况我们代码在物理地址:9e000h从线性地址8009e000h分析映射情况
              ;8009e000h在页目录位置最高10位=200h*4,在内存地址=[CR3]+200h*4...
              kd> d 80030000+200*4
                80030800  63 21 03 00 63 41 03 00-63 51 03 00 63 31 03 00  c!..cA..cQ..c1..

               ;二级页表对应物理地址:63 21 03 00转换下物理页基址=32000h ,163是页属性
               ;8009e000h所在二级页表位置:32000h+9eh*4(8009e000h线性地址12~22的位)...
                kd> d 80032000 + 9e *4
                  80032278  23 e1 09 00 03 f1 09 00-03 01 0a 00 03 11 0a 00  #...............

               ;物理地址基址(页基址):23 e1 09 00转换下09e000h,123是页属性..

          ;#实例3:Windows运行起后用的页目录表线性地址:0c0000000h映射到物理地址情况.
               kd> d 80030000 + c00 ;计算略.页目录表位置,观察发现指向自己的...
                 80030c00  67 00 03 00 63 00 f0 17-00 00 00 00 63 31 a9 02  g...c.......c1..

b、winXP:  WINDBG 看到 Kernel base = 0x804d8000 PsLoadedModuleList = 0x8055b420
          kd> r @cr3   ;断点位置在NTOSKRNL.exe里现在还没有应用程序故低端内存还未使用
               cr3=00039000 ;->页目录表所在物理页(页目录物理地址30000h)
                  
               kd> d 80039000 80039800  ;看页目录发现现在低端2GB(0~80000000h)还未分配
                 80039000  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
  
               kd> d 80039800           ;看高端开始分配情况页表(80000000h开始的分配情况)
                 80039800  e9 b9 00 f6 06 a1 08 10-75 1b f6 06 a3 08 10 75  ........u......u

          ;实例1:看我们代码映射情况我们代码在物理地址:9e000h从线性地址8009e000h分析映射情况
                 ;8009e000h在页目录位置最高10位=200h*4,在内存地址=[CR3]+200h*4...
                 kd> d 80039000+200*4
                   80039800  63 b1 03 00 e3 01 40 00-63 e1 03 00 e3 01 00 01  c.....@.c.......

                 ;二级页表对应物理地址:63 b1 03 00转换下物理页基址=3b000h ,163是页属性
                 ;8009e000h所在二级页表位置:3b000h+9eh*4(8009e000h线性地址12~22的位)...
                 kd> d 8003b000 + 9e *4
                   8003b278  03 e1 09 00 03 f1 09 00-03 01 0a 00 03 11 0a 00  ................

                ;物理地址基址(页基址):03 e1 09 00转换下09e000h,103是页属性..
--------->  ;*#实例2:手工修改分页让物理地址映射到线性地址,WINXP.80000000h BIOS/dos向量区没映射.#*
                 kd> d 80000000  ;可看到现在没映射的情况,无法通过线性地址访问.
                   80000000  ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??  ????????????????
                   80000010  ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??  ????????????????

                 ;80000000h的最高10位确定在页目录表位置=200h*4=800h.在页目录物理地址:[cr3]+800h
                   kd> d 80039000+200*4;可发现二级页表已映射(63b10300)页属性163.物理地址(页)3b000h
                     80039800  63 b1 03 00 e3 01 40 00-63 e1 03 00 e3 01 00 01  c.....@.c.......
                     
                     ;80000000h的12~22位次高10位确定在二级页表位置:物理地址3b000h+0*4
                   kd> d 8003b000;观察发现确实没映射.全0.注意：一个页项占4字节...
                     8003b000  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................

                   ;修改成让它对应物理地址:000就可以,只修改允许访问就可以.也就是byte ptr [8003b000]=63
                     kd> e 8003b000 63
                     kd> d 8003b000  ;修改成功
                       8003b000  63 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  c...............

                   ;观察修改后的情况.;注意：要想设置生效.让WINDBG执行下G.让0C0000000等cr3被改等..
                     kd> g        ;让系统自动刷新TLB等寄存器....
                     kd> d 80000000
                       80000000  53 ff 00 f0 53 ff 00 f0-c3 e2 00 f0 53 ff 00 f0  S...S.......S...

          ;#实例3:Windows运行起后用的页目录表线性地址:0c0000000h映射到物理地址情况.
                kd> d 80039000 + c00 ;计算略.页目录表位置,观察发现指向自己的...
                  80039c00  67 90 03 00 63 00 f0 0f-00 00 00 00 63 31 e2 01  g...c.......c1..

c、分析以上总结:发现最开始获取的cr3值一直在用。
故我们修改页项的效果会在windows运行后也生效通过以上的实例分析可以看出NT系统的页映射情况。
进入保护模式之后这个CR3的值也就是页目录表位置被映射到了虚拟地址0c0000000h。上面调试的实例页目录表地址就可以直接使用这个虚地址。

本篇文章来源于 新世纪网安基地 (www.520hack.com) 原文出处：http://www.520hack.com/Article/Text2/200903/13723.html