多核 IDT hook的处理

forwe

Driver.h

1. #ifdef __cplusplus
   
2. extern "C"
   
3. {
   
4. #endif
   
5. #include <ntddk.h>
   
6. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath);
   
7. 
   
8. #ifdef __cplusplus
   
9. }
   
10. #endif
    
11. 
    
12. #define PAGEDCODE code_seg("PAGE")
    
13. #define LOCKEDCODE code_seg()
    
14. #define INITCODE code_seg("INIT")
    
15. 
    
16. #define PAGEDDATA data_seg("PAGE")
    
17. #define LOCKEDDATA data_seg()
    
18. #define INITDATA data_seg("INIT")
    
19. 
    
20. #define arraysize(p) (sizeof(p)/sizeof((p)[0]))
    
21. 
    
22. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject);
    
23. 
    
24. #define WORD USHORT
    
25. #define DWORD ULONG
    
26. #define MAKELONG(a, b) ((LONG)(((WORD)(((DWORD_PTR)(a)) & 0xffff)) | ((DWORD)((WORD)(((DWORD_PTR)(b)) & 0xffff))) << 16))
    
27. 
    
28. #pragma pack(push)
    
29. #pragma pack(1) // 1字节对齐
    
30. typedef struct _IDTR //IDT基址
    
31. {
    
32.         USHORT IDT_limit; //范围占位
    
33.         USHORT IDT_LOWbase;//基地址占位_IDT_ENTRY类型指针
    
34.         USHORT IDT_HIGbase;
    
35. }IDTR,*PIDTR;
    
36. 
    
37. typedef struct _IDT_ENTRY
    
38. {
    
39.         USHORT LowOffset; //中断处理函数地址低位
    
40.         USHORT selector; //选择符
    
41.         UCHAR  reserved;
    
42.         UCHAR  type:4;         //4位
    
43.         UCHAR  always0:1;        //1位
    
44.         UCHAR  dpl:2;                //2位
    
45.         UCHAR  present:1;        //1位
    
46.         USHORT HigOffset;//中断处理函数地址高位
    
47. }IDTENTRY,*PIDTENTRY;//获取基址实际上是这个类型
    
48. #pragma pack(pop)
    
49. 
    
50. EXTERN_C NTKERNELAPI UCHAR * PsGetProcessImageFileName(__in PEPROCESS Process);

复制代码

Driver.cpp

1. #include "Driver.h"
   
2. 
   
3. //global
   
4. 
   
5. KEVENT g_Event ;
   
6. ULONG g_CurrentCpuAffinity = 0;
   
7. ULONG g_OrgInterruptFunc3;
   
8. 
   
9. void PageProtectOn()
   
10. {
    
11.         //恢复内存保护
    
12.         __asm
    
13.         {
    
14.                 mov eax, cr0
    
15.                 or eax, 10000h
    
16.                 mov cr0, eax
    
17.                 sti
    
18.         }
    
19. }
    
20. 
    
21. void PageProtectOff()
    
22. {
    
23.         //去掉内存保护
    
24.         __asm
    
25.         {
    
26.                 cli
    
27.                 mov eax, cr0
    
28.                 and eax, not 10000h
    
29.                 mov cr0, eax
    
30.         }
    
31. }
    
32. 
    
33. 
    
34. void GetIdt(ULONG uCPU)
    
35. {
    
36.         IDTR idtr;
    
37.         __asm SIDT idtr
    
38. 
    
39. 
    
40.         PIDTENTRY pIdtEntry = NULL;
    
41.         pIdtEntry = (PIDTENTRY)MAKELONG(idtr.IDT_LOWbase, idtr.IDT_HIGbase);
    
42. 
    
43.         KdPrint(("pIdtEntry: %X\n", pIdtEntry));
    
44. 
    
45.         for (ULONG uIndex = 0; uIndex <= idtr.IDT_limit / sizeof(IDTENTRY); uIndex++)
    
46.         {
    
47.                 KdPrint(("uCPU:%d---pIdtEntry[%d]: %X\n", uCPU, uIndex, MAKELONG(pIdtEntry[uIndex].LowOffset, pIdtEntry[uIndex].HigOffset)));
    
48.         }
    
49. }
    
50. 
    
51. 
    
52. ULONG GetInterruptFuncAddress(ULONG InterruptIndex)
    
53. {
    
54.         IDTR idtr;
    
55.         PIDTENTRY pIdtEntry;
    
56. 
    
57.         __asm SIDT idtr;
    
58. 
    
59.         pIdtEntry = (PIDTENTRY)MAKELONG(idtr.IDT_LOWbase, idtr.IDT_HIGbase);
    
60. 
    
61.         return MAKELONG(pIdtEntry[InterruptIndex].LowOffset, pIdtEntry[InterruptIndex].HigOffset);
    
62. }
    
63. 
    
64. VOID __stdcall FilterInterruptFunc3()
    
65. {
    
66.         KdPrint(("CurrentProcess:%s\n", PsGetProcessImageFileName(IoGetCurrentProcess())));
    
67. }
    
68. 
    
69. __declspec(naked) void NewInterruptFun3()
    
70. {
    
71.         __asm
    
72.         {
    
73.                 pushad
    
74.                 pushfd
    
75.                 push fs
    
76. 
    
77.                 push 0x30
    
78.                 pop fs
    
79.                 mov ax, 0x23
    
80.                 mov ds, ax
    
81.                 mov es, ax
    
82.                 call FilterInterruptFunc3
    
83. 
    
84.                 pop fs
    
85.                 popfd
    
86.                 popad
    
87. 
    
88.                 jmp g_OrgInterruptFunc3
    
89.         }
    
90. }
    
91. 
    
92. 
    
93. void HookInterrupt(ULONG uCPU, ULONG InterruptIndex, ULONG NewInterruptFunc)
    
94. {
    
95.         IDTR idtr;
    
96.         __asm SIDT idtr
    
97. 
    
98. 
    
99.         PIDTENTRY pIdtEntry = NULL;
    
100.         pIdtEntry = (PIDTENTRY)MAKELONG(idtr.IDT_LOWbase, idtr.IDT_HIGbase);
     
101. 
     
102.         KdPrint(("uCPU:%d---pIdtEntry: %X\n", uCPU, pIdtEntry));
     
103. 
     
104.         PageProtectOff();
     
105. 
     
106.         pIdtEntry[InterruptIndex].LowOffset =(USHORT)((ULONG)NewInterruptFunc & 0xffff);
     
107.         pIdtEntry[InterruptIndex].HigOffset = (USHORT)((ULONG)NewInterruptFunc >> 16);
     
108. 
     
109.         PageProtectOn();
     
110. }
     
111. 
     
112. 
     
113. VOID HookIdtDpc(
     
114.                   IN struct _KDPC  *Dpc,
     
115.                   IN PVOID  DeferredContext,
     
116.                   IN PVOID  SystemArgument1,
     
117.                   IN PVOID  SystemArgument2
     
118.                   )
     
119. {
     
120.         HookInterrupt(g_CurrentCpuAffinity, (ULONG)SystemArgument1, (ULONG)SystemArgument2);
     
121.         KeSetEvent(&g_Event, IO_NO_INCREMENT, FALSE);
     
122. }
     
123. 
     
124. 
     
125. void HandleIdtByDpc(ULONG InterruptIndex, ULONG NewInterruptFunc)
     
126. {
     
127.         KAFFINITY CpuAffinity;
     
128.         ULONG uCpuCount = 0;
     
129.         ULONG i = 0;
     
130.         KDPC Dpc;
     
131. 
     
132.         CpuAffinity = KeQueryActiveProcessors();
     
133. 
     
134.         for (i = 0; i < sizeof(KAFFINITY); i++)
     
135.         {
     
136.                 if ((CpuAffinity >> i) & 1)
     
137.                 {
     
138.                         uCpuCount++;
     
139.                 }
     
140.         }
     
141. 
     
142.         if (uCpuCount == 1)
     
143.         {
     
144.                 KIRQL OldIrql = KeRaiseIrqlToDpcLevel();
     
145.                 HookInterrupt(0, InterruptIndex, NewInterruptFunc);
     
146.                 KeLowerIrql(OldIrql);
     
147.         }
     
148.         else
     
149.         {
     
150.                 for (i = 0; i < sizeof(KAFFINITY); i++)
     
151.                 {
     
152.                         if ((CpuAffinity >> i) & 1)
     
153.                         {
     
154.                                 g_CurrentCpuAffinity = i;
     
155.                                 KeInitializeEvent(&g_Event, NotificationEvent, FALSE);
     
156.                                 KeInitializeDpc(&Dpc, HookIdtDpc, NULL);
     
157.                                 KeSetTargetProcessorDpc(&Dpc, (CCHAR)i);
     
158.                                 KeSetImportanceDpc(&Dpc, HighImportance);
     
159.                                 KeInsertQueueDpc(&Dpc, (PVOID)InterruptIndex, (PVOID)NewInterruptFunc);
     
160. 
     
161.                                 if (KeWaitForSingleObject(&g_Event, (KWAIT_REASON)0, 0, 0, 0) == STATUS_SUCCESS)
     
162.                                 {
     
163.                                         continue;
     
164.                                 }
     
165.                         }
     
166.                 }
     
167.         }
     
168. }
     
169. 
     
170. 
     
171. 
     
172. 
     
173. #pragma INITCODE
     
174. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
     
175. {
     
176.     NTSTATUS status = STATUS_SUCCESS;
     
177. 
     
178.         g_OrgInterruptFunc3 = GetInterruptFuncAddress(3);
     
179.        
     
180.         HandleIdtByDpc(3, (ULONG)NewInterruptFun3);
     
181. 
     
182.     DriverObject->DriverUnload = DriverUnload;
     
183.     return status;
     
184. }
     
185. 
     
186. #pragma PAGEDCODE
     
187. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
     
188. {
     
189.   
     
190.         HandleIdtByDpc(3, g_OrgInterruptFunc3);
     
191.     KdPrint(("DriverEntry unLoading...\n"));
     
192.   
     
193. }

复制代码