SSDT

forwe

1. #pragma once
   
2. 
   
3. 
   
4. typedef struct _ServiceDescriptorTable
   
5. {
   
6.     PVOID           ServiceTableBase;       //System Service Dispatch Table 的基地址
   
7.     PVOID           ServiceCounterTable;    //包含着 SSDT 中每个服务被调用次数的计数器。这个计数器一般由sysenter 更新。
   
8.     unsigned int    NumberOfServices;       //由 ServiceTableBase 描述的服务的数目。
   
9.     PVOID           ParamTableBase;         //包含每个系统服务参数字节数表的基地址-系统服务参数表
   
10. 
    
11. }*PServiceDescriptorTable;
    
12. 
    
13. 
    
14. extern "C" PServiceDescriptorTable KeServiceDescriptorTable;
    
15. 
    
16. 
    
17. extern ULONG GetSSDTAddr(ULONG uIndex);
    
18. extern VOID UnHookSSDT(ULONG* pOriginalAddr, ULONG uIndex);
    
19. extern BOOLEAN HookSSDT(ULONG* pOriginalAddr, ULONG uNewAddr, ULONG uIndex);

复制代码

1. #include "StdAfx.h"
   
2. #include "SSDT.h"
   
3. #include "common.h"
   
4. 
   
5. ULONG GetSSDTAddr(ULONG uIndex)
   
6. {
   
7.     ULONG uAddr = 0;
   
8. 
   
9. 
   
10.     __asm
    
11.     {
    
12.         push eax
    
13.         push ecx
    
14. 
    
15.         mov ecx, uIndex
    
16.         mov eax, KeServiceDescriptorTable
    
17.         mov eax, [eax]
    
18.         lea eax, [eax + ecx*4]
    
19.         mov eax, [eax]
    
20.         mov uAddr, eax
    
21. 
    
22.         pop ecx
    
23.         pop eax
    
24. 
    
25.     }
    
26. 
    
27.     return uAddr;
    
28. }
    
29. 
    
30. BOOLEAN HookSSDT(ULONG* pOriginalAddr, ULONG uNewAddr, ULONG uIndex)
    
31. {
    
32.     ULONG uServiceTableBase = (ULONG)KeServiceDescriptorTable->ServiceTableBase;
    
33. 
    
34.     *pOriginalAddr = ((ULONG*)uServiceTableBase)[uIndex];
    
35. 
    
36.     DisableWP();
    
37. 
    
38.     ((ULONG*)uServiceTableBase)[uIndex] = uNewAddr;
    
39. 
    
40.     EnableWP();
    
41. 
    
42.     return TRUE;
    
43. }
    
44. 
    
45. VOID UnHookSSDT(ULONG* pOriginalAddr, ULONG uIndex)
    
46. {
    
47.     ULONG uServiceTableBase = (ULONG)KeServiceDescriptorTable->ServiceTableBase;
    
48. 
    
49.     DisableWP();
    
50. 
    
51.     ((ULONG*)uServiceTableBase)[uIndex] = *pOriginalAddr;
    
52. 
    
53.     EnableWP();   
    
54. }

复制代码

1. #include "stdafx.h"
   
2. #include "common.h"
   
3. 
   
4. 
   
5. VOID DisableWP()
   
6. {
   
7.     __asm
   
8.     {
   
9.         cli
   
10.         push eax
    
11.         mov eax, cr0
    
12.         and eax, 0x0FFFEFFFF
    
13.         mov cr0,eax
    
14.         pop eax
    
15.     }
    
16. }
    
17. 
    
18. VOID EnableWP()
    
19. {
    
20.     __asm
    
21.     {
    
22.         push eax
    
23.         mov eax, cr0
    
24.         or eax, 0x00010000
    
25.         mov cr0, eax
    
26.         pop eax
    
27.         sti
    
28.     }
    
29. }

复制代码