寫了兩天的程序，總算把RING3下的搞定了。這個太強悍了，可以穿透所有的主動防御和還原軟件和影子系統(tǒng)~~危害太大，代碼我就不發(fā)了~~關于RING0驅動過還原的可以看機器狗的代碼~
隨著機器狗病毒和MJ的Tophet.a的放出，無論是RING0還是RING3下穿透還原軟件的技術突然浮現(xiàn)在了大眾的眼前。讓你的毒毒和小馬能穿透還原軟件/卡，的確很吸引人~~
最近學習SCSI總線命令，結合以前的知識做了一下穿透還原軟件，學習是個曲線前進過程，有可能文中有些觀點不對，主要來自《SCSI程序員指南》和《scsi總線及IDE接口（協(xié)議、應用和編程）》~~
IRP是從文件系統(tǒng)->卷驅動 -> 磁盤驅動-> 類驅動-> 端口驅動-> 微端口驅動
ntfs/fat32.sys->partmgr.sys->ftdisk.sys->disk.sys->classpnp.sys->acpi.sys->atapi.sys
其中不少是value-added和filter驅動，主要的是文件系統(tǒng)驅動ntfs/fat32.sys，storage驅動disk.sys和總線驅動atapi.sys，我們知道，文件系統(tǒng)驅動做的工作就是把下層讀扇區(qū)得到的RAW數(shù)據(jù)轉換成文件，向上提供，磁盤驅動這層就是把上層請求的讀扇區(qū)的IRP換成帶SCSI命令的IRP發(fā)給下層的miniport ATAPI.sys，ATAPI.sys調用hal中的write_port_char最后來直接端口I/O了。還原程序是在哪一層呢？是在disk.sys之上插了一個filter，如果直接繞過上層的驅動直接發(fā)帶SRB的IRP給Disk.sys或是ATAPI.sys,那么就實現(xiàn)了穿透。另外，當然還有別的方法，譬如端口I/O，但是通用性不好，與硬盤具體的接口有關(IDE,SCSI等)
kd>bu atapi!IdePortStartIo
上圖可看到，在disk這層的irp處理交給了classpnp了，在disk這層之上有個DeepFrz的驅動，這是我測試用的冰點還原的驅動，可以的確冰點還原的驅動是位于disk之上的，從理論上說我們發(fā)SRB給disk是可以繞過還原的。到了atapi這層就是走atapi!IdePortStartIo->nt!IoStartPacket->IdePortStartIo,之后就分有無DMA能力區(qū)別對待了。
首先SCSI總線上設備數(shù)據(jù)傳輸?shù)倪^程:
申請—仲裁（建立連接）—消息—命令—數(shù)據(jù)（如果命令產生數(shù)據(jù)傳輸）—消息（通知結束，發(fā)送狀態(tài)碼）
SCSI有以下幾個階段:
1總線空閑階段
2總裁階段
3選擇階段
4重新選擇階段
5消息輸出階段
6命令階段（接受CDB）
CDB分為0，1，2，5號組命令，命令組號告訴目標器在CDB中有多少字節(jié)，然后會產生以下三種階段情況(本段參考《SCSI程序員指南》，比較老
了，根據(jù)SCSI SPC-3上有16字節(jié)的等)
0號組CDB是6字節(jié)長
1，2號組CDB是10字節(jié)長
5號組CDB是12字節(jié)長
CDB的第一個字節(jié)是描述該命令的操作碼，高三位表示命令所屬的命令組0-7，低五位表示命令碼
CDB的第二個字節(jié)高三位表示一個LUN（邏輯單元號）
其中LUN是什么呢？LUN的全稱是Logical Unit Number，也就是邏輯單元號。我們知道SCSI總線上可掛接的設備數(shù)量是有限的，一般為6個或者15個，我們可以用Target ID(也有稱為SCSI ID的)來描述這些設備，而實際上我們需要用來描述的對象，是遠遠超過該數(shù)字的，于是我們引進了LUN的概念，也就是說LUN ID的作用就是擴充了Target ID。每個Target下都可以有多個LUN Device，我們通常簡稱LUN Device為LUN，這樣就可以說每個設備的描述就有原來的Target x變成Target x LUN y了，那么顯而易見的，我們描述設備的能力增強了。
從第三字節(jié)開始是命令參數(shù)字段，對直接存取設備來說是邏輯塊地址，對傳輸數(shù)據(jù)的命令是傳輸長度
最后一個字段是Control字段，如Link標志指出該CDB是否是一系列連接命令的一部分，F(xiàn)lag標志決定一條連接的命令成功執(zhí)行后目標器返回的狀態(tài)碼(6-7廠商自定，2-5保留，1標志位，0連接位）
強制命令（適用于所有設備的命令,采用大端點數(shù)）
00H Test unitReady
簡單的報告設備是否已經(jīng)為執(zhí)行命令做好準備，6字節(jié)組（高三位為0）
03H Request Sense（讀取）
12H Inquiry
查詢設備的制造商，模型信息等
1DH Send Diagnostic
設備類型特定命令
mode sense（獲取目標機操作參數(shù)信息）和mode select（改變參數(shù)）有6字節(jié)和10字節(jié)
Read和Write命令有6字節(jié)和10字節(jié)版本，分屬與0號組和2號組
數(shù)據(jù)階段
狀態(tài)階段
消息輸入階段
SCSI miniport驅動器實現(xiàn)了對SCSI接口適配器的直接控制。miniport驅動器對SCSI適配器進行初始化，并向硬件傳輸I/O請求，處理中斷的產生，執(zhí)行適配器水平的錯誤修復和記錄。miniport驅動器是一種小型的仿制的SCSI I/O模型，它隱藏了SCSI適配器硬件水平上的細節(jié)內容。它提供了帶有連續(xù)，低層次的借口的高水平的SCSI模型，而根本不用考慮實際的硬件接口。只要實現(xiàn)了規(guī)定的SCSI miniport 接口，SCSI miniport驅動器就不必對傳統(tǒng)的SCSI適配器進行控制，這就允許外設制造商在他們的硬件上使用不同的總線接口。ATAPI設備擁有一套幾乎與SCSI完全一致的命令，但是它們進行的數(shù)據(jù)傳輸卻是基于IDE總線的。windows中的ATAPI的miniport驅動接受了低層次的SCSI命令，并把它們通過IDE總線發(fā)送出去
SCSIPORT驅動器對于系統(tǒng)中的所有SCSI請求提供了唯一的入口點，對系統(tǒng)中各種各樣的miniport驅動器進行初始化，把系統(tǒng)特有的SCSI I/O請求轉化成標準的SRB，并把這些請求發(fā)送給適當?shù)膍iniport驅動器。由于硬件細節(jié)被隱藏在了miniport驅動器中，所以高層次的驅動器可以調用SCSIPORT驅動器來執(zhí)行所有的SCSI I/O操作，而不必在乎所使用的硬件接口，在windows NT中，有很多種標準的SCSI類驅動器，包括用來處理磁盤驅動器(disk.sys)和CD-ROM驅動器的類驅動器。文件系統(tǒng)的驅動器可以調用磁盤類驅動器來執(zhí)行高層次，面向塊的I/O請求。磁盤類驅動會把文件系統(tǒng)的請求轉化成一系列的SCSI I/O請求，然后它們會被傳送到SCSIPORT驅動。
sense data(檢測數(shù)據(jù)) ：當一個SCSI設備（通常是一個LUN）發(fā)現(xiàn)它自己處于異常狀態(tài)時，它就拒絕執(zhí)行下面的命令，并返回一個check condition狀態(tài)。產生至少18個字節(jié)長的數(shù)據(jù)，包括經(jīng)過編碼的關于錯誤的信息，稱為檢測數(shù)據(jù)。
IOCTL_SCSI_PASS_THROUGH
IOCTL_SCSI_PASS_THROUGH_DIRECT
NTFS使用邏輯簇號（Logical Cluster Number，LCN）和虛擬簇號（Virtual Cluster Number，VCN）來對簇進行定位。LCN是對整個卷中所有的簇從頭到尾所進行的簡單編號。用卷因子乘以LCN，NTFS就能夠得到卷上的物理字節(jié)偏移量，從而得到物理磁盤地址。VCN則是對屬于特定文件的簇從頭到尾進行編號，以便于引用文件中的數(shù)據(jù)。VCN可以映射成LCN，而不必要求在物理上連續(xù)。
總之，不用擔心下層的具體硬件接口是什么，是IDE還是SCSI，都可以用SCSI命令發(fā)給ATAPI，實現(xiàn)文件的讀寫。其實正常的文件讀寫也是這樣的流程，只不過我們自己繞過上層，自己構造SRB而已~
首先看驅動發(fā)SRB
參見http://www.osronline.com/DDKx/storage/k306_0hte.htm
typedef struct _SCSI_REQUEST_BLOCK {
USHORT Length; // 該SRB的長度
UCHAR Function; // 功能碼，如果想發(fā)SCSI命令，設置為SRB_FUNCTION_EXECUTE_SCSI
UCHAR SrbStatus; // SRB發(fā)送后返回的狀態(tài)，一般SRB發(fā)送后不會立即執(zhí)行，會放入一個隊列中，所以通常返回
SRB_STATUS_PENDING
UCHAR ScsiStatus; // 是否成功發(fā)送，與上面一樣均為返回值
UCHAR PathId; // 指明是總線ID,(PathId，TargetId，Lun)來確定一個設備
UCHAR TargetId; //
UCHAR Lun; //
UCHAR QueueTag; // 隊列TAG
UCHAR QueueAction; // 與上述結構有關
UCHAR CdbLength; // SCSI命令塊長度
UCHAR SenseInfoBufferLength; // 存儲返回經(jīng)過編碼的關于錯誤的信息的緩沖區(qū)的長度
ULONG SrbFlags; // Srb的相關參數(shù)，SRB_FLAGS_DATA_IN為讀出，SRB_FLAGS_DATA_OUT為寫入設備
ULONG DataTransferLength; // 指出傳輸數(shù)據(jù)的大小
ULONG TimeOutValue; // 設定超時
PVOID DataBuffer; // 數(shù)據(jù)緩沖區(qū)
PVOID SenseInfoBuffer; // 檢測緩沖區(qū)
struct _SCSI_REQUEST_BLOCK *NextSrb; // 下一個SRB，一般的命令只要一個SRB
PVOID OriginalRequest; // 指向原始IRP
PVOID SrbExtension; //
union {
ULONG InternalStatus; //
ULONG QueueSortKey; //
};
UCHAR Cdb[16]; // SCSI總線命令了，這里不一定是16字節(jié)，正如上面所說，具體幾個字節(jié)，得看第一個字節(jié)。
} SCSI_REQUEST_BLOCK, *PSCSI_REQUEST_BLOCK;
SRB是與操作系統(tǒng)相關的，即是操作系統(tǒng)定義的結構，不在SCSI規(guī)范里的，相當于對CDB的一層包裹。而真正執(zhí)行命令的是CDB
取自SCSI Primary Commands - 3
因為一般硬盤不會太大，10字節(jié)的DiskPos是32位的，可以操作4g*512字節(jié)的空間，一般已經(jīng)足夠了，如果要大點的話，可以用12字節(jié)，16字節(jié)的CDB（可去參考SCSI Primary Commands - 3）具體結合機器狗的AtapiReadWriteDisk函數(shù)進行學習~
ULONG AtapiReadWriteDisk(PDEVICE_OBJECT dev_object,ULONG MajorFunction, PVOID buffer,ULONG DiskPos, int BlockCount)
{
//dev_object為通過ObReferenceObjectByName得到的disk.sys設備對象，另外說句題外話，根
//據(jù)MJ的說法，disk.sys對于上層的SCSI_PASS_THROUGH是直接轉發(fā)給總線設備，那么構造
//相應的IRP直接發(fā)給總線設備也可以~這樣貌似更底層
//MajorFunction為自定義的一個參數(shù)，根據(jù)傳輸進來IRP功能IRP_MJ_READ和IRP_MJ_WRITE
//來轉換。可以查SCSI Primary Commands - 3的B章的operation codes知道10字節(jié)的寫為2Ah，
//讀為28h，機器狗代碼中是將2*((UCHAR)MajorFunction+ 17)付給了srb->Cdb[0]，我們知道ntd
//dk.h中定義IRP_MJ_READ為0x3，IRP_MJ_WRITE為0x4，其實這只是個簡單的換算而已
//buffer為輸入輸出的緩沖區(qū)
//DiskPos為32位指定的磁盤起始邏輯扇區(qū)號
//BlockCount為要讀（寫）的扇區(qū)數(shù)
......
srb->Length=sizeof(SCSI_REQUEST_BLOCK);
srb->Function=0; //0即是SRB_FUNCTION_EXECUTE_SCSI
srb->DataBuffer=buffer;
srb->DataTransferLength=BlockCount<<9;//因為每扇區(qū)是512字節(jié)
srb->QueueAction=SRB_FLAGS_DISABLE_AUTOSENSE;
srb->SrbStatus=0;
srb->ScsiStatus=0;//這兩個都是輸出，隨便填
srb->NextSrb=0;
srb->SenseInfoBuffer=sense;
srb->SenseInfoBufferLength=sizeof(SENSE_DATA);
if(MajorFunction==IRP_MJ_READ)
srb->SrbFlags=SRB_FLAGS_DATA_IN;
else
srb->SrbFlags=SRB_FLAGS_DATA_OUT;
if(MajorFunction==IRP_MJ_READ)
srb->SrbFlags|=SRB_FLAGS_ADAPTER_CACHE_ENABLE;
srb->SrbFlags|=SRB_FLAGS_DISABLE_AUTOSENSE;
srb->TimeOutValue=(srb->DataTransferLength>>10)+1;
srb->QueueSortKey=DiskPos;//指定從目標設備的開始位置
srb->CdbLength=10;
srb->Cdb[0]=2*((UCHAR)MajorFunction+ 17);//參見上圖10字節(jié)CDB的格式
srb->Cdb[1]=srb->Cdb[1] & 0x1F | 0x80;//高三位是保留位，與0x1f清0高三位，高位置1
srb->Cdb[2]=(unsigned char)(DiskPos>>0x18)&0xFF; //大端點數(shù)，右移24位，取高8位放入Cdb
srb->Cdb[3]=(unsigned char)(DiskPos>>0x10)&0xFF; //
srb->Cdb[4]=(unsigned char)(DiskPos>>0x08)&0xFF; //
srb->Cdb[5]=(UCHAR)DiskPos; //填寫sector位置
srb->Cdb[7]=(UCHAR)BlockCount>>0x08;
srb->Cdb[8]=(UCHAR)BlockCount;
......
}
當然SRB也是屬于IRP中一部分，自己發(fā)IRP給總線設備，當然還得自己填充IRP包，這個就不具體討論了
總的思路是：先發(fā)IoControlCode=FSCTL_GET_RETRIEVAL_POINTERS的IRP給文件系統(tǒng)驅動，得到某個文件的起始邏輯扇區(qū)號和大小，然后得到disk.sys的dev，再發(fā)構造好的SRB的IRP給disk.sys就ok了，這樣就繞過了還原軟件
RING3發(fā)SCSI_PASS_THROUGH：
遍歷符號鏈接找到總線設備對應的符號鏈接，發(fā)送SCSI_PASS_THROUGH_DIRECT給總線設備實現(xiàn)文件讀寫，從而繞過主動防御，其中思路MJ0011說了，不過他給的代碼基本沒用，好幾個暗樁~