Posted on 2010-01-04 21:12
S.l.e!ep.￠% 阅读(788)
评论(0) 编辑 收藏 引用 所属分类:
RootKit
解决某IM软件A和某IM软件B无法在Sandboxie中运行的问题
2009-06-16 13:46
|
今天在Sandboxie中运行TM 2009，结果bugreport.exe蹦出来了。调了一下，发现是Sandboxie的实现机制和某IM软件A新增的安全模块功能冲突导致的。
Sandboxie中运行的每个进程都会加载SbieDll.dll，这个模块会Inline Hook一堆API。而某IM软件A的TSSafeEdit.dat（其实是一个dll）会检测一些API有没有被Inline Hook，一旦发现就试图进行恢复。
但是TSSafeEdit.dat中的代码在恢复Inline Hook时为了能顺利写入，先调用VirtualProtec给目标内存设置了PAGE_READWRITE（0x04）属性，但是恢复结束后并没有设置回原始的PAGE_EXECUTE_READ（0x20）属性。在开启了DEP的系统上，PAGE_READWRITE的区域自然是不可执行的，于是就异常了。
TSSafeEdit.dat用upx压缩过，解开后可以找到如下两处设置属性的代码：
.text:100019CD push eax
.text:100019CE push 4 ; PAGE_READWRITE
.text:100019D0 push edi
.text:100019D1 push esi
.text:100019D2 call dword_1000A168 ; kernel32!VirtualProtec
.text:10001CF7 push eax
.text:10001CF8 push 4 ; PAGE_READWRITE
.text:10001CFA push ebx
.text:10001CFB push edi
.text:10001CFC call dword_1000A168 ; kernel32!VirtualProtec
把那两个push 4改成push 0x20就可以让TM 2009正常在Sandboxie中运行了。
需要注意，TM 2009运行后会检查TSSafeEdit.dat是否被修改，如果被修改则会试图获取原始文件恢复之。要避免被恢复可以借助Sandboxie的相关机制来进行限制，如禁止SelfUpdate.exe进程运行等。
细心的朋友可能还会有疑问：改成push 0x20不是就等于没改内存属性PAGE_EXECUTE_READ（0x20）么，那么这部分内存仍然是不可写的，后面恢复Inline Hook时不会出异常么？答案是不会。
因为TSSafeEdit.dat恢复Inline Hook时写内存用的是WriteProcessMemory()而不是memcpy()之类直接内存访问的方式。对WriteProcessMemory()这种血腥暴力的API来说，只读内存属性是不影响写入的。换句话说，TSSafeEdit.dat中那两个
VirtualProtec()调用其实是不必要的，全改成nop也一样能正常工作。
某IM软件B和某IM软件A的情况相同。
|