每次上driverdevelop总看到有人问怎么在Ring0下调用Ring3的代码——Ring3使用Ring0已经是地球人全知道的事情了，但是ring0下使用ring3的代码恐怕很少有人知道,Ratter和Benny这两个高人以及Elzc的作者Elzcor各自提出过一种方法。总结起来就是三种方法，Zombie在2004年也提出过一个方法看起来像是Ratter和Elzcor的方法结合而成~当然说其本质都是一种思想把ring3代码搞到ring3的空间去执行，听起来大家也好像有所明白了吧，Benny的方法是在Ring0的向Ring3进程插入代码执行，Ratter则是Hook KAPIZ等待用户层调用发生把ring3代码放回Ring3空间，利用KeUserModeCallBack来执行，Elzcor则是自己建立一个进程把代码内存感染到进程执行。Zombie取两家之长搞的~。
今天我来向大家介绍的更像是Ratter和Benny的方法结合，对于Benny的方法，我不完全采用，我采用的思想仍然是代码放回Ring3空间~
首先无论如何我们都要有一个进程习习~Windows提供强大的kernel函数帮我们虐待用户~
PsSetCreateProcessNotifyRoutine摄定好NotifyRoutine在创建进程时我们就
可以yy进程了~
通过DDK文档MSDN的大叔的帮助，这个函数
PsSetCreateProcessNotifyRoutine有两个参数
返回值是NTSTATUS型，第一个参数是回调函数NotifyRoutine,第二个参数是Bool型的如果第二个参数为False表示设定NotifyRoutine,为True就是取消~
NotifyRoutine的形式如下
NotifyRoutine proc dwParentId:DWORD, dwProcessId:DWORD, bCreate:BOOL
这样我们就可以获得一个进程了~~xixi~~
我们的NotifyRoutine只处理dwProcessId和dwProcessId,对bCreate不用理，通过使用ps函数PsLookupProcessByProcessId得到PEPROCESS结构(得不到结构的不处理),再取进程Name如果是Explore且插入标识无就开始我们的插入~(选Explore的原因我就不用说了吧？)插入时我采用Ratter的方法，于是乎就要用KeAttachProcess，Attach到进程然后开始工作~~呵呵~~
插完了就用回调CallBackUserMode~~然后DetachProcess
KeUserModeCallBack的参数
NTSTATUS KeUserModeCallback (
IN ULONG ApiNumber,
IN PVOID InputBuffer,
IN ULONG InputLength,
OUT PVOID *OutputBuffer,
IN PULONG OutputLength
)
可能看不出来怎么使它返回UserMode执行任意代码，但是如果你看看win2ksrc/private/ntos/ke/i386/
下的callback.c和callout.asm就会发现世界真奇妙~~~居然KiCallUserMode回调的是~~~~~xixi~~~~
我不说了，大家应该自己研究一下吧~
另外我提一下参数传递的问题，这里使用KeUserModeCallBack必须要用有效的InputBuffer和OutputBuffer当KeUserModeCallBack发生时，调用我们的Ring3代码参数传入的方式好像是PUSH进来的KiCallUserMode中回调USER的时KiServiceExit回自动的飞向我们的代码~类似发生下面的事情~
(
;这些代码并非真的在KiCallUserMode里存在~
;只是我个人的猜测，因为softice跟到最后到处是[ebx+xxx],[esi+xxx]这样的东西~
;实在难说~做后使用jmp _KiServiceExit返回ring3的代码更是头大~
;不过分析的说可能是栈传入参数~
;如果看ntos/ke/i386/下的分析，估计会更头大~它的栈传递和stack变换等等搞的很晕~~
;不过可以肯定的说，就是已经到了ring3了，我们自己做个检测不就行了？
;hehe~具体到底是怎么传递的呢？大家做个检测吧，我不说了~
;正确的函数传递方式：Kernel是怎么运行我们的函数的~
push Outlength
push lpOutBuffer
push Inlength
push lpInBuffer
push API_NUMBER
call KeUserCallBackDispatch
KeUserCallBackDispatch:
add esp,4
pop edx ;edx=Api_Number
mov eax,fs:[PcTeb]
mov eax,[eax].TebPeb
mov eax,[eax].PebKernelCallbackTable
call [eax+edx*4] ;Real Call To [EAX+EDX*4],hehe~~
;我们计算的api_number被还原了~~~x
