Bonjour à vous,<br />Je vous propose aujourd’hui ma petite contribution régulière.<br />Celle-ci traitera du principe du KLOG, un keylogger kernel programmé par Clandestiny.<br /><br />Dans cet article, nous allons parler un peu du « comment le KLOG opère t-il ? » afin de nous coder un petit driver perso pour mettre en pratique les choses que l’on vient d’apprendre.<br /><br />Je vous propose quelques outils pouvant être utile au cours du coding et de l’analyse du KLOG :<br />- DeviceTree, peut être utile pour observer les devices créer par les drivers par exemple.<br />- IrpTracker, un outil permettant de « tracker » les IRPs reçus par un device.<br /><br />Les outils en main, nous pouvons nous attaquer au fonctionnement de l’engin.<br /><br /><span style="font-size:130%;"><span style="font-weight: bold;">Le KLOG dans la place <o></o></span></span><br /><br />Vous êtes maintenant préparer à suivre la suite de l’article.<br />Pour mener à bien son fonctionnement le KLOG va attacher un filter device ( FiDO ) au dessus du device KeyboardClass0 créer par le driver Kbdclass. Le driver KbdClass à pour rôle de fournir une interface entre le sytème et le driver physique :<br /><br />( Je cite )<br /><span style="font-style: italic;">The HID class driver does the following:</span><br /><span style="font-style: italic;">Provides and manages the upper-level interface that kernel-mode drivers and user-mode applications use to access the HID collections that an input device supports.</span><br /><span style="font-style: italic;">The HID class driver transparently manages and routes all communication between upper-level drivers and applications and the underlying input devices that support HID collections. It manages the different data protocols used by different input devices and input queues that support more than one open file on the same HID collection. (!!)</span><br /><span style="font-style: italic;">The upper-level interface to HID collections consists of the HID class driver IOCTLs, the HIDClass support routines, and the HIDClass structures.</span><br /><span style="font-style: italic;">Communicates with a HID minidriver by calling the minidriver's standard driver routines — see Communicating with a HID Minidriver.</span><br /><span style="font-style: italic;">Creates a functional device object (FDO) for HIDClass input devices enumerated by a lower-level bus or port driver.</span><br /><span style="font-style: italic;">For example, the HID class driver creates and manages the operations of an FDO that represents a USB HID device enumerated by the system-supplied USB driver stack.</span><br /><span style="font-style: italic;">Provides the functionality of a bus driver for the child devices (HID collections) supported by an underlying input device.</span><br /><span style="font-style: italic;">The HID class driver creates a physical device object (PDO) for each HID collection supported by an input device and manges the collection's operation.</span><br />(juste pour informations)<br /><br /><br />Il faut aussi savoir que le device KeyboardClass0 est attaché au device anonyme du driver i8042prt. Le driver i8042prt est de type PDO (Pysical Device Object), il gère la gestion de la souris et du clavier. Le HID driver va crée un FDO (Functional Device Object) au dessus du PDO pour fournir une interface entre le sytème et le périphérique.<br /><br /><br /><a onblur="try {parent.deselectBloggerImageGracefully();} catch(e) {}" href="http://4.bp.blogspot.com/_kuo-yDTqvqc/R9G2ZsamLrI/AAAAAAAAAGU/DFY1V6N1lZ4/s1600-h/Drivers_Devices.png"><img style="cursor: pointer;" src="http://4.bp.blogspot.com/_kuo-yDTqvqc/R9G2ZsamLrI/AAAAAAAAAGU/DFY1V6N1lZ4/s400/Drivers_Devices.png" alt="" id="BLOGGER_PHOTO_ID_5175117999361109682" border="0" /></a><br /><br /><br />Le KeyboardClass1 est un clavier virtuel, il ne nous intéresse pas du tout.<br />Vu que tout le concept repose sur la device stack du driver, nous allons nous renseigner un peu plus sur celle-ci, sortons donc le kd.<br /><br /><span style="font-style: italic;">kd> !devstack \device\keyboardclass0</span><br /><span style="font-style: italic;">!DevObj !DrvObj !DevExt ObjectName</span><br /><span style="font-style: italic;">> 816f53a0 \Driver\Kbdclass 816f5458 KeyboardClass0</span><br /><span style="font-style: italic;">816f5588 \Driver\i8042prt 816f5640</span><br /><span style="font-style: italic;">817d2618 \Driver\ACPI 817da2e8 00000043</span><br /><span style="font-style: italic;">!DevNode 81799948 :</span><br /><span style="font-style: italic;">DeviceInst is "ACPI\PNP0303\4&5289e18&0"</span><br /><span style="font-style: italic;">ServiceName is "i8042prt"</span><br /><span style="font-style: italic;">kd> !drvobj \Driver\Kbdclass 3</span><br /><span style="font-style: italic;">Driver object (816f5930) is for:</span><br /><span style="font-style: italic;">\Driver\Kbdclass</span><br /><span style="font-style: italic;">Driver Extension List: (id , addr)</span><br /><br /><span style="font-style: italic;">Device Object list:</span><br /><span style="font-style: italic;">816d5030 816f53a0 q</span><br /><br /><span style="font-style: italic;">DriverEntry: f9d0f610</span><br /><span style="font-style: italic;">DriverStartIo: 00000000</span><br /><span style="font-style: italic;">DriverUnload: 00000000</span><br /><span style="font-style: italic;">AddDevice: f9d0eb02</span><br /><br /><span style="font-style: italic;">Dispatch routines:</span><br /><span style="font-style: italic;">[00] IRP_MJ_CREATE f9d0bdd8 +0xf9d0bdd8</span><br /><span style="font-style: italic;">[01] IRP_MJ_CREATE_NAMED_PIPE 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[02] IRP_MJ_CLOSE f9d0bfe8 +0xf9d0bfe8</span><br /><span style="font-style: italic;">[03] IRP_MJ_READ f9d0cc82 +0xf9d0cc82</span><br /><span style="font-style: italic;">[04] IRP_MJ_WRITE 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[05] IRP_MJ_QUERY_INFORMATION 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[06] IRP_MJ_SET_INFORMATION 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[07] IRP_MJ_QUERY_EA 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[08] IRP_MJ_SET_EA 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[09] IRP_MJ_FLUSH_BUFFERS f9d0bd50 +0xf9d0bd50</span><br /><span style="font-style: italic;">[0a] IRP_MJ_QUERY_VOLUME_INFORMATION 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[0b] IRP_MJ_SET_VOLUME_INFORMATION 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[0c] IRP_MJ_DIRECTORY_CONTROL 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[0d] IRP_MJ_FILE_SYSTEM_CONTROL 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[0e] IRP_MJ_DEVICE_CONTROL f9d0da44 +0xf9d0da44</span><br /><span style="font-style: italic;">[0f] IRP_MJ_INTERNAL_DEVICE_CONTROL f9d0d386 +0xf9d0d386</span><br /><span style="font-style: italic;">[10] IRP_MJ_SHUTDOWN 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[11] IRP_MJ_LOCK_CONTROL 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[12] IRP_MJ_CLEANUP f9d0bd0c +0xf9d0bd0c</span><br /><span style="font-style: italic;">[13] IRP_MJ_CREATE_MAILSLOT 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[14] IRP_MJ_QUERY_SECURITY 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[15] IRP_MJ_SET_SECURITY 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[16] IRP_MJ_POWER f9d0e196 +0xf9d0e196</span><br /><span style="font-style: italic;">[17] IRP_MJ_SYSTEM_CONTROL f9d0d844 +0xf9d0d844</span><br /><span style="font-style: italic;">[18] IRP_MJ_DEVICE_CHANGE 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[19] IRP_MJ_QUERY_QUOTA 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[1a] IRP_MJ_SET_QUOTA 805025e4 nt!IopInvalidDeviceRequest</span><br /><span style="font-style: italic;">[1b] IRP_MJ_PNP f9d0c798 +0xf9d0c798</span><br /><br /><span style="font-style: italic;">kd> !devobj 0x816d5030</span><br /><span style="font-style: italic;">Device object (816d5030) is for:</span><br /><span style="font-style: italic;">KeyboardClass1 \Driver\Kbdclass DriverObject 816f5930</span><br /><span style="font-style: italic;">Current Irp 00000000 RefCount 0 Type 0000000b Flags 00002044</span><br /><span style="font-style: italic;">Dacl e129e634 DevExt 816d50e8 DevObjExt 816d51c8</span><br /><span style="font-style: italic;">ExtensionFlags (0000000000)</span><br /><span style="font-style: italic;">AttachedTo (Lower) 816d41e0 \Driver\TermDD</span><br /><span style="font-style: italic;">Device queue is not busy.</span><br /><br /><span style="font-style: italic;">kd> !devobj 0x816f53a0</span><br /><span style="font-style: italic;">Device object (816f53a0) is for:</span><br /><span style="font-style: italic;">KeyboardClass0 \Driver\Kbdclass DriverObject 816f5930</span><br /><span style="font-style: italic;">Current Irp 00000000 RefCount 0 Type 0000000b Flags 00002044</span><br /><span style="font-style: italic;">Dacl e129e634 DevExt 816f5458 DevObjExt 816f5538</span><br /><span style="font-style: italic;">ExtensionFlags (0000000000)</span><br /><span style="font-style: italic;">AttachedTo (Lower) 816f5588 \Driver\i8042prt</span><br /><span style="font-style: italic;">Device queue is not busy.</span><br /><br />Nous avons donc nos renseignements sur la device stack, ces infos sont bien sur aussi visibles grâce au programme DeviceTree. Notre device placé au dessus du KeyboardClass0, va donc recevoir les IRPs avant lui.<br />C’est ici que tout se joue !<br /><br />Nous allons mettre en place une « Completion Routine » qui sera appelé au retour de l’IRP, c’est-à-dire quand elle contiendra les informations ( les scancodes des touches ) délivré par le driver, le retour de l’IRP est provoqué par l’appel de la fonction IoCompleteRequest dans le driver KbdClass. Cette Completion routine va permettre de lire les IRPs et donc de récupérer les scancodes des touches.<br /><br />Cependant les personnes qui ont déjà étudiés le KLOG, savent que la tache de les écrire n’est pas si facile. En effet la fonction permettant l’écriture dans le fichier tourne à un IRQL différent, comprenez que écriture dans un fichier demande au système d’être dans un état non-interrompu. Bref pour nous on s’arrête là afin de coder un petit truc personnalisé.Mais Clandestiny gère ce problème en créant un thread kernel tournant à l’IRQL nécessaire.<br /><br />Je vous propose quelques schémas, les 2 premiers venus tout droit de mon imagination, et le dernier extrait du pdf fournis dans l’archive du KLOG :<br /><br /><a onblur="try {parent.deselectBloggerImageGracefully();} catch(e) {}" href="http://1.bp.blogspot.com/_kuo-yDTqvqc/R9G1R8amLnI/AAAAAAAAAF0/D9pfEbKW6fg/s1600-h/ComportementNormal.png"><img style="cursor: pointer;" src="http://1.bp.blogspot.com/_kuo-yDTqvqc/R9G1R8amLnI/AAAAAAAAAF0/D9pfEbKW6fg/s400/ComportementNormal.png" alt="" id="BLOGGER_PHOTO_ID_5175116766705495666" border="0" /></a><br /><br /><br /><a onblur="try {parent.deselectBloggerImageGracefully();} catch(e) {}" href="http://4.bp.blogspot.com/_kuo-yDTqvqc/R9G1lsamLoI/AAAAAAAAAF8/dNR3RDotZVA/s1600-h/ComportementFrauduleu.png"><img style="cursor: pointer;" src="http://4.bp.blogspot.com/_kuo-yDTqvqc/R9G1lsamLoI/AAAAAAAAAF8/dNR3RDotZVA/s400/ComportementFrauduleu.png" alt="" id="BLOGGER_PHOTO_ID_5175117106007912066" border="0" /></a><br /><br /><br /><a onblur="try {parent.deselectBloggerImageGracefully();} catch(e) {}" href="http://4.bp.blogspot.com/_kuo-yDTqvqc/R9G11samLpI/AAAAAAAAAGE/-dI5MfkcCrE/s1600-h/CompletionRoutine.png"><img style="cursor: pointer;" src="http://4.bp.blogspot.com/_kuo-yDTqvqc/R9G11samLpI/AAAAAAAAAGE/-dI5MfkcCrE/s400/CompletionRoutine.png" alt="" id="BLOGGER_PHOTO_ID_5175117380885819026" border="0" /></a><br /><br /><br />Nous avons donc toutes les clés en main pour coder un petit driver .<br /><br /><span style="font-size:130%;"><span style="font-weight: bold;">Control your keyboard.</span></span><br /><br />Au cours de cette partie, notre but va être non pas de lire, mais de modifier les scancodes des lettres, afin de contrôler les touches.Le driver va renvoyé les scancodes de façon a écrire « overclok » quelque soit les touches tapées.<br /><br />Pour mener a bien notre projet, nous allons créer un device par le biais de la fonction IoCreateDevice(), puis l’attacher avec IoAttachDevice() sur \Device\KeyboardClass0.<br />Petite précision pour le IoCreateDevice(), nous allons utilisé un de ces paramètres afin de faire transiter une structure personnalisée. En effet nous devons garder à l’esprit que les IRP doivent être envoyées au driver KbdClass, pour cela il faut connaître l’adresse du device \Device\KeyboardClass0, l’I/O Manager fournit pour chaque device une structure personnalisé appelée DeviceExtension permettant au programmeur d’y ajouter des infos. Dans notre cas nous allons donc juste avoir un champ avec à pointeur sur le device KeyboardClass0.<br /><br /><br /><a onblur="try {parent.deselectBloggerImageGracefully();} catch(e) {}" href="http://1.bp.blogspot.com/_kuo-yDTqvqc/R9G2M8amLqI/AAAAAAAAAGM/f-BJVnS5tRI/s1600-h/DeviceAttache-DeviceTREE.png"><img style="cursor: pointer;" src="http://1.bp.blogspot.com/_kuo-yDTqvqc/R9G2M8amLqI/AAAAAAAAAGM/f-BJVnS5tRI/s400/DeviceAttache-DeviceTREE.png" alt="" id="BLOGGER_PHOTO_ID_5175117780317777570" border="0" /></a><br /><br /><br />Nous devons bien évidemment remplir le tableau MajorFunction pour handler des fonctions à appeler selon les IRPs reçus.<br />Celles intéressantes sont les IRP_MJ_READ.<br /><br />Notre fonction qui sera appelée lors de la réception d’une telle IRP doit mettre en place la Completion Routine grâce à la fonction IoSetCompletionRoutine() puis nous « relayons » les IRPs au device d’en dessous.<br /><br />En ce qui concerne notre la Completion Routine c’est en quelque sorte le cœur de notre driver, car en effet c’est ici que la modification ou la lecture des IRPs aura lieu.<br /><br />Pour ma part j’ai choisis d’aller remplacer les scancodes des touches de manière a former le mot « overclok » lors de l’appuie sur les touches de votre clavier.<br /><br />Un petit screenshot :<br /><br /><br /><a onblur="try {parent.deselectBloggerImageGracefully();} catch(e) {}" href="http://1.bp.blogspot.com/_kuo-yDTqvqc/R9G2m8amLsI/AAAAAAAAAGc/m7KJEtM_iNk/s1600-h/Final.png"><img style="cursor: pointer;" src="http://1.bp.blogspot.com/_kuo-yDTqvqc/R9G2m8amLsI/AAAAAAAAAGc/m7KJEtM_iNk/s400/Final.png" alt="" id="BLOGGER_PHOTO_ID_5175118226994376386" border="0" /></a><br /><br /><br />Je vous propose aussi de lire un article rédigé par Ivanlef0u sur sa tentative de modification du KLOG.<br />Il a modifié quelques petits trucs sur la version qu’il propose, à savoir le support des claviers français et le hidalgo du driver dans la PsLoadedModuleList.<br /><br />Voici le lien :<br />- KLOG -> <a href="http://www.ivanlef0u.tuxfamily.org/?p=17">http://www.ivanlef0u.tuxfamily.org/?p=17.</a><br /><br />A présent je vous propose mon petit code :<br />- <a href="http://overclok.free.fr/Codes/OwnzYourKeyboard.htm">OwnzYourKeyboard.c.</a><br /><br />C’est finit pour aujourd’hui en espérant vous avoir divertis un petit peu, encore merci au personne qui m’ont aidé à la réalisation de cet article etc.<br /><br />PS : Je tiens aussi à passer un petit coup de pub pour des amis.<br />Tout d'abord l'ouverture du site perso de shaka ou sevieron, un site internet rassemblant des écrits qui seront rédigés par lui même concernant de multiples domaines liés a l'informatique.<br />Ensuite l'ouverture de deux blogs de deux autres personnes que j'apprécie beaucoup, il s'agit de KPCR et de santabug.<br />En espérant que ces blogs et ce site seront tenus à jour par les auteurs, et que les articles apparaitront d'ici peu :).<br />Bonne chance à vous, voici les liens ajouter à la blogrollz :<br /><br />- Shaka Web Site -> <a href="http://shaka.n0ne.org/">http://shaka.n0ne.org/.</a><br />- Santabug's blog -> <a href="http://santabug.blogspot.com/">http://santabug.blogspot.com/.</a><br />- KPCR's blog -> <a href="http://kpcr.blogspot.com/">http://kpcr.blogspot.com/.</a><br /><br />Cya.<div class="blogger-post-footer"><img width='1' height='1' src='https://blogger.googleusercontent.com/tracker/5190877782491799334-5974222494225519991?l=0vercl0k.blogspot.com'/></div>