コグノスケ

微妙にVista

我が家のWindows XPのリモートデスクトップ接続のプログラム（mstsc.exe）がアップデートされ、バージョンが6.0.6000.16386になっていることに気づきました。XPなら5.1.xxxxのはずなので、バージョンだけ見るとVistaの一部に見えます。

Vistaになってリモートデスクトップのプロトコルが変わったのかなあ？rdesktopが動かなくなるとちょっと不便だな。

忘年新年歓迎送別会

ドコモの方々と飲み会しましょうという話しが出ていたのですが、先生を始め皆様忙しくて予定が合わず、できずじまい。ところが今日は奇跡の日、皆さんの予定が合ったようです。

忘年会、新年会、歓迎会、送別会が全部一緒になった結果、通常の飲み会になりました。宴会の席で色々話しましたけど、やっぱりOS研って凄い人の集合だなってのと、ちょっと変わった人が多いなあと（自分も含めて）改めて思いました。もちろんそこは良いところですよ！

ええ、うまくいってません

某プロテクトさんの姿をやっと拝めたかに見えたものの…？一瞬このような絵が出ますが、直後にOSがフリーズします。

GameMon.desという変な名前のプロセスが某プロテクトだと思われます。

その姿を拝めたかに見えた瞬間

あと、もう一つhiddenのプロセスがあるんですが、名前を見るに恐らくゲームのプロセスなので、どうでも良いです。というわけで、余計な部分は海苔で隠しておきました。

ちなみに同じ事をXPでやったらリセットがかかりました。BoDになってもリセットかけないように設定しているのに。某プロテクトが何か異常を検出したらリセットかけるようになっている、というのはさすがに考えすぎでしょうから、私のいじり方が悪くて吹っ飛んでるだけでしょう。

某プロテクトはあまりに手の込んだrootkitでして、簡単には戻せないんじゃないか、って気がしてきました。この手のものって戻したら戻したで何かおかしくなりそうですよね。

ドコモ

明日までに作ります、と言ってしまったものを作りました。すごい眠くてやる気が出ません。たくさん寝たのになぜだ…、もしや寝過ぎ？

Windowsさーん！

MSDNにはカーネルモードドライバのサポートルーチンとして、スレッドを作ったときに通知される関数を登録するPsSetCreateThreadNotifyRoutineという関数と、通知関数を削除するPsRemoveCreateThreadNotifyRoutineという関数が載っています。

しかしWindows 2000にはPsRemove〜 がありません。じゃあPsSet〜 もないのかというと、なぜか存在します。なんだこの片手落ち。しっかり作れよ！！

仕方ないから自分で登録解除する方法を紹介します。
PspCreateThreadNotifyRoutineという配列に通知関数のアドレスが登録されているので、自分で登録した関数を探してNULLに変えます。さらにPspCreateThreadNotifyRoutineCountと言う変数をデクリメントすれば登録解除されます。

私の環境（Windows 2000 SP4最新パッチ適用済み）だと、0x80483200(RoutineCount) と0x804831a0(Routine) というアドレスで、Routineの配列長は8（合計32バイト）でした。

rootkit

昨日に続き某プロテクトを眺めていたら、もう一つ発見しました。

Windowsではプロセスの構造体をActive Listという双方向？リストで繋いでいます。ところが腐れプロテクトはリストを壊して自分の前と後ろを繋いでしまいます。そうすることで自分は居ないかのように見せかけています。

しかしそのままではOSからも見えないため、実行されなくなります。そのため自分のプロセスが持っているスレッドを、適当なプロセス（恐らくID:8のSystemプロセスだと思います）に押しつけて実行させます（※）。

SSDTに加え、カーネルオブジェクト書き換えと来たもんだ…。このゴミプログラムは何やってくれてるんでしょうね、ほんと最低です。

（※）カーネルオブジェクト書き換えはFu rootkitというrootkitが使用しているそうです。

送別会

今年でつくばを離れてしまう阿部さんのための、送別会が開かれました。修論、卒論生のみなさん、発表お疲れ様でした。という労いの会も兼ねています。

場所は灯禾軒でした。飲み会にありがちな、ご飯が大量に余る状況にはなりませんでした。料理が少なかったのか、単にみんなおなかが空いていただけかな。最近のOS研ではM1の人々の就職/進学の話しで持ちきりです。さて、来年どうなっているやら？
2次会は横にあるじんぱちでした。酒を飲まなかったせいか、かなり安かったです。

3次会というか既に3人しかいなかったんですが、STEPで卓球とカラオケをしました。

ドライバ

某プロテクトを殺せないかと思って、変なドライバを書いてみました。結果を先に言うと、うまくいきませんでした。

某の動きを観察してみると、SSDTを書き換えているようです。具体的には、NtDeviceIoControlFile, NtOpenProcess, NtProtectVirtualMemory, NtReadVirtualMemory, NtWriteVirtualMemoryの5つ(2/14 NtWriteVirtualMemoryを追記)にフックを入れています（Windows2000の場合）。このやり口はもはやrootkit以外の何者でもないですね。

まずは単純に、正しいSSDTを記録しておいて、書き換えられた後に元の値に戻してやりました。ところが強制リセットがかかってしまい、駄目でした。

次にプロテクトが使っているフックルーチンの先頭を無条件near jmpに書き換えて、正しい位置に飛ぶように書き換えたのですが、Windowsがハングアップしてしまって、うまくいきません。

何か間違ってるのでしょうけど、いまいちわかりません。難しいですね…。

キューバはどこだ

昼にキューバ料理の店に行こうと誘われて6号沿いのお店に行きました。そういえばキューバってどこだっけ？って思いながら店に入ったら、壁にでかでかと地図が書いてありました。ああそうか、カリブ海の島国でしたね。

料理は辛い物が基本らしいですが、店員さんに辛くないのありますかって聞いたらいくつか教えてくれました。その中から一つ頼んでみると、不思議な香りの肉野菜炒めが出てきました。なんのスパイスかわからないけど…、おいしかったです。

ものづくり大国

国立科学博物館に行って、ものづくり展を見てきました。前のばけもの展が失敗感漂う感じで微妙だったのに対し、今回の展示は科博の本領発揮と言ったところでしょうか。面白かったです。

ニュースにもなっていた表面が磨かれたピッカピカの車もありましたよ。残念なことに時間が経ってしまって若干曇っていました。

工業製品の原料とか部品が多いのですが、車の部品、携帯の外装なども展示してあります。これらは身近にあるものですが、作るとなると結構複雑で難しいらしいのです。すげー複雑で細かい部品とか、何に使うのかわからなくても製品の形、材質を見て、これが一発で作れるか？と考えてみるとその技術力に感動します。

科学系の展示では珍しく、あちこちのパネルで「職人が〜」「熟練の技で〜」といったフレーズを見かけます。工作機械では到底なし得ない精度の加工も、熟練工がやれば一発というのは珍しくないようです。ものづくりには理屈じゃない技も必要ですね。

卒業旅行

僕の卒業旅行は横須賀で仕事になりそうです。南無三。

修士論文審査会

質疑応答の時に突っ込まれてちょっと固まりましたが、無事に終了しました。学生生活に一区切り付いた感じです。

朝イチだったので事務にプロジェクタを借りに行ったら、返すときも同じ人が返さなきゃだめだと言われた。何それ。俺だけ最初から最後まで居なさいってか。

自分たちが使っていた部屋は15:40で終わりだったのでまだ良い方で、18:00までやっていた部屋は一体どうなっていることやら。偶然一番手だったというだけで、9時間も拘束（9:00〜18:00）され、挙げ句に事務やってないから次の日返しに行くなんて、おかしいよね？

ドコモ

作業を頑張りましたが、眠いので無理ぽでした。

やっぱり思い直して頑張りました。徹夜でござる。

明日は発表

明日は修士論文の発表会です。自分の順番は一番目なので、会場の準備をしなければならないそうです。頑張って早起きします。

明日の修士論文発表を乗り切った後は、明後日のドコモミーティングのために作業しなければならないです。終わったのになんで…、ってちょっと暗い気持ちになりそうです。

さらにスライド

大量に入った直しを反映しつつ、頑張って作ったよ！(｀・ω・´)
明日隙を見て、スライドをチェックしてもらおうかな。

ありえない×3

昼頃起きて、服を着替えたらずいぶんズボンがきつくなってて、これが噂のメタボ？とか思ったら、パジャマの上から着てました。ありえねー。

机の上の携帯を見ると不在着信があったので、かけ直しました。そしたら何を間違ったか、着信履歴の次のページにあった塚田氏にかけてしまった。これもありえねー。

当然ながら（俺）「電話の用件はなんでしょう？」（塚田氏）「いや、かけてませんよ？」（二人）「ええ？？」という、全く意味のわからん会話となった。

会話終了後にちゃんと見たら、不在着信は非通知のワン切りでした。もうね、何も合ってない、そもそもかけてきた人すら合ってない。これが一番ありえねー。

しかしなぜか電話をかけたときは、塚田氏だと確信していたんだ…。むしゃくしゃしてやったわけではないが、今は反省している。

公開延期して下さい

修論の公開延期願いという書類を出すことになりました。特許に絡むかも知れないからだそうです。

書類はWebに載っているのですが、リンク切れで落とせなかったため、F棟9階の事務（CS専攻事務）に聞きに行きました。そうしたら、え？そんな書類あった？とか言われて、あせりました。えぇー、提出先ここなんですけどー…。

んで、書類のリンク切れの件を話したら、技官さんに連絡が行ってすぐにリンクが復活しました。これはつまり今まで誰も出したことがない、ってことでファイナルアンサー？

真のフィルタドライバ

DDKに付いているフィルタドライバのサンプルを見てみると、自分が書いているやり方と全然違いました。しかもクラスとかデバイスとか、色々別れていて良くわからんす。本買おうかなあ。

普通、キーボードフィルタドライバというと、全てのキーボードに対して作用しますが、自分の書いたドライバは 1つめのキーボードにしか作用しません。これだとフィルタドライバとは呼ばないんだろうな。しかしこれはこれで使い道が有りそうなので、取っておきます。

スライド

明日の発表練習に向けてスライドを作りました。発表は20分、スライドは26枚…完全に時間オーバーです。明日、練習前にまた直そう。