Как создать буткит самостоятельно
Буткит являет собой стандартный рудкит, который включается еще до того, как операционная система загрузилась. Основной его особенностью является то, что он может перехватывать функции ядра и повышать до уровня системы привилегии. Навыки по написанию буткита будут полезны для тех, кто хочет зафиксировать свои знания по строению системы. Написания буткита является непростой задачей, так как причина возникновения ошибки не всегда ясна. Тузлы, которые нужны для написания:
виртуальная машина, на которой установлена Windows XP;
язык программирования С++;
программный пакет TASM;
редактор файлов двоичного типа (Hiew);
опционная программа Bochs.
Составление алгоритма
После включения компьютера загружается биос и выполняют все положенные на него функции. Первая часть буткита пишется с первого сектора первого диска, на который проходит джампация биоса. Перехват функций прерывания биос даст возможность контролировать дальнейшее считывание дисковых секторов. Если мы осуществим перехват данного прерывания, то сможем сделать просплайс любой функции, которая вызывалась операционной системой. Это обеспечит сохранение при переходе в защищенное состояние. Как только функция, которую мы перехватили, вызовется, обработчик будет выполнять полезную нагрузку.
Поочередность действий:
запуск операционной системы с главной загрузочной записью;
переписка первых байтов (446) главной загрузочной записи кодом буткита;
выполнение компиляции кода;
осуществление записи бинарника в главную загрузочную запись.
Скопировать код можно на 1 килобайт оперативной памяти компьютера. По адресу, на котором находится эта память (0:413h), система не будет обращаться, так как для нее будет создаваться впечатление, что там уже память отсутствует. Далее переходим в место, куда скопировали код, и выполняем оставшуюся работу. Вначале тут происходит чтение четвертого сектора, расшифровка главной загрузочной записи и в конце выводится строка, в которую нужно ввести пароль. После правильного введения пароля операционная система загружается в стандартном режиме.
Открыть бинарник, который вы получили, можно в редакторе типа Hiew, и там скопировать все байтики.Также можно использовать плагин, который выполнял копирование байтиков, и преобразовать их в массив на языке Си. Если все было выполнено верно, операционная система будет продолжать грузится
Читать статью на:
