Author: inghu　　EMail: jack.xlt@gmail.com　　Site: http://hi.baidu.com/inghu　　Date: 2008-11-1　　前言：XCON2008将于不日召开，其间国内外安全界之高手将云集席间，共享中国安全界这一盛会。吾自学计算机以来从 *** 受益颇多，或换言之，若无 *** 便无今日我对计算机知识的了解。吾近来研究NTLDR的结构和功能略有所得便随手做了个基于NTLDR的BOOTKIT，正想写篇相关文章回馈互联网，也 正如安全焦点的LOGO所说"From the Internet, For the Internet"，而恰好这时又侧耳听闻MJ0011将在此次XCON上发布它的高级Bootkit Tophet.A，吾虽对Tophet略有耳闻，但未睹其真面目，这次吾对Tophet也是翘首以待，在一睹Tophet真身以前，吾发现很少有相关 BOOTKIT的文章，也未见任何源代码，便决心写下这篇文章，一为回馈滋养了我多年的 *** ;二也为这次XCON的召开推波助澜。　　一.简介　　二.NTLDR的HOOK　　三.内核的加载与定位　　四.对内核做HOOK　　五.在内存里搭个狗窝　　六.把自己挂上去　　七.源代码　　八.尾声　　一.简介　　先简要介绍一下我这个BOOTKIT吧，我这个BOOTKIT是基于NTLDR的文件型BOOTKIT，NTLDR是winNT系列内核的 Osloader，当开机以后BIOS载入MBR，MBR载入DBR，然后DBR载入NTLDR，并将执行权转交给它，它再来启动内核。所以NTLDR是 最接近内核的，而且对它做HOOK，可以避免编写针对各种类型外设的代码，提高通用性。总的来说，我的BOOTKIT有以下几个特点：　　1.ring3下就可完成hook(改写NTLDR)　　2.注入内核的代码没有内存大小限制，也无需自己读入代码　　3.BOOTDRIVER驱动初始化时加载（依情况而定，也可hook内核其它地方）　　4.理论上可以hook各种版本ntldr　　5.理论上可以引导各个版本nt内核和内存相关boot.ini参数（嗯，你的内核得能用ntldr启动才行）　　暂时没有对PAE内核，x64和内存相关BOOT.INI参数提供支持。我的调试环境是Bochs、Vmware、Windbg、Win2000 sp4、WinXp sp2、Win2003 sp1。汇编工具是C32A *** 。本文牵涉到Windows x86的段页式内存管理、Windows地址空间布局结构、PE文件结构和汇编的知识，本人在写作本文时假设您已经了解了这些知识。　　二.NTLDR的HOOK：　　要做NTLDR的BOOTKIT，当然，我们首先面临的问题就是如何对NTLDR做HOOK？要对NTLDR做HOOK，那就首先要对 NTLDR的文件结构有所理解才行。我大致说一下它的结构和功能，NTLDR是由两部分构成，一部分是被称作Su Module（Startup）的16位汇编代码，另一部分则是名为Osloader的PE文件。Su module位于NTLDR的头部，Osloader紧随其后。DBR将NTLDR加载到物理地址2000:0000开始的地方，然后跳转到这个地址，将 控制权交给NTLDR进行引导，而这个地址也就是Su的入口。Su的主要功能是为Osloader准备内存环境，包括GDT、IDT、打开保护模式（未分 页）和将Osloader按编译时的虚拟地址移动Osloader等等。在MP（多处理器）版本的NTLDR中，Su还有一件事情要做，就是检测 Osloader的完整性，如果它检测到NTLDR被修改，那么，嘿嘿，这句话送给你“NTLDR is corrupt.The system cannot boot.”为了兼容windows 2003，我的DEMO就是用这种版本的NTLDR做的，由于我太懒，就没有研究这部分了，我绕过它的办法就是把它切了——我用没有校验的Su替换了它 ——我是不是很黄很暴力？嗯，我想是有那么点！