Windows驱动开发学习笔记（五）—

Windows驱动开发学习笔记（五）—— SSDT HOOK

系统服务表
系统服务描述符表
实验一：通过代码获取SSDT表地址
通过页表基址修改页属性
- 方法1：修改页属性
- 方法2：修改CR0寄存器
实验二：SSDT HOOK
- 第一步：编译如下代码
- 第二步：查看PCHunter（未HOOK）
- 第三步：运行驱动程序
- 第四步：查看PCHunter（已HOOK）

系统服务表

描述：

全称：SystemServiceTable（系统服务表）
可以通过系统服务描述符表访问系统服务表

系统服务描述符表

描述：

全称：System Services Descriptor Table（SSDT）
位于内核文件中，可以通过其导出表找到该表

在WinDbg中查看：

函数地址表（ServiceTable）：

参数个数表（ArgmentTable）：

实验一：通过代码获取SSDT表地址

#include <ntddk.h>
#include <ntstatus.h>typedef struct _KSYSTEM_SERVICE_TABLE
{  PULONG  ServiceTableBase;                                // 服务函数地址表基址  PULONG  ServiceCounterTableBase;                      // SSDT函数被调用的次数ULONG   NumberOfService;                             // 服务函数的个数  PULONG   ParamTableBase;                                // 服务函数参数表基址
} KSYSTEM_SERVICE_TABLE, *PKSYSTEM_SERVICE_TABLE;  typedef struct _KSERVICE_TABLE_DESCRIPTOR
{  KSYSTEM_SERVICE_TABLE   ntoskrnl;                       // ntoskrnl.exe 的服务函数  KSYSTEM_SERVICE_TABLE   win32k;                         // win32k.sys 的服务函数(GDI32.dll/User32.dll 的内核支持)  KSYSTEM_SERVICE_TABLE   notUsed1;  KSYSTEM_SERVICE_TABLE   notUsed2;
}KSERVICE_TABLE_DESCRIPTOR, *PKSERVICE_TABLE_DESCRIPTOR;// KeServiceDescriptorTable 是 ntoskrnl.exe 所导出的全局变量 申明一下就可以直接使用了
extern PKSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable;//卸载函数
VOID DriverUnload(PDRIVER_OBJECT driver)
{DbgPrint("驱动程序已停止.\r\n");
}//驱动程序入口函数，相当于控制台的main函数
NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject,PUNICODE_STRING RegistryPath)
{DbgPrint("驱动程序已运行.\r\n");KdPrint(("--> %x \n", KeServiceDescriptorTable->ntoskrnl.ServiceTableBase));//设置一个卸载函数  便于退出DriverObject->DriverUnload = DriverUnload;return STATUS_SUCCESS;
}

通过页表基址修改页属性

描述：SSDT所在的物理页是只读的，如果要修改，要先修改页属性为可写

方法1：修改页属性

if(RCR4 & 0x00000020)
{//说明是2-9-9-12分页KdPrint(("2-9-9-12分页 %p\n",RCR4));KdPrint(("PTE1 %p\n",*(DWORD*)(0xC0000000 + ((HookFunAddr >> 9) & 0x007FFFF8))));*(DWORD64*)(0xC0000000 + ((HookFunAddr >> 9) & 0x007FFFF8)) |= 0x02; KdPrint(("PTE1 %p\n",*(DWORD*)(0xC0000000 + ((HookFunAddr >> 9) & 0x007FFFF8))));
}
else
{//说明是10-10-12分页KdPrint(("10-10-12分页\n"));KdPrint(("PTE1 %p\n",*(DWORD*)(0xC0000000 + ((HookFunAddr >> 10) & 0x003FFFFC))));*(DWORD*)(0xC0000000 + ((HookFunAddr >> 10) & 0x003FFFFC)) |= 0x02;KdPrint(("PTE2 %p\n",*(DWORD*)(0xC0000000 + ((HookFunAddr >> 10) & 0x003FFFFC))));
}

方法2：修改CR0寄存器

描述：CR0寄存器的第16位叫做保护属性位，控制着页的读/写属性

VOID PageProtectOn()
{__asm{mov  eax,cr0or   eax,10000hmov  cr0,eaxsti}
}VOID PageProtectOff()
{__asm{cli                  mov  eax,cr0and  eax,not 10000hmov  cr0,eax}
}

实验二：SSDT HOOK

第一步：编译如下代码

#include <ntddk.h>
#include <ntstatus.h>ULONG uOldNtOpenProcess;         //存储原来的NtOpenProcess地址typedef NTSTATUS (*NTOPENPROCESS)(PHANDLE ProcessHandle,ACCESS_MASK DesiredAccess,POBJECT_ATTRIBUTES ObjectAttributes,PCLIENT_ID ClientId);VOID PageProtectOn()
{__asm{//开启内存保护mov  eax,cr0or   eax,10000hmov  cr0,eaxsti}
}VOID PageProtectOff()
{__asm{//关闭内存保护cli                  mov  eax,cr0and  eax,not 10000hmov  cr0,eax}
}//1. 找到系统服务表：函数地址表
typedef struct _KSYSTEM_SERVICE_TABLE
{  PULONG  ServiceTableBase;            // 服务函数地址表基址  PULONG  ServiceCounterTableBase;      // SSDT函数被调用的次数ULONG   NumberOfService;         // 服务函数的个数  PULONG   ParamTableBase;            // 服务函数参数表基址
} KSYSTEM_SERVICE_TABLE, *PKSYSTEM_SERVICE_TABLE;  typedef struct _KSERVICE_TABLE_DESCRIPTOR
{  KSYSTEM_SERVICE_TABLE   ntoskrnl;        // ntoskrnl.exe 的服务函数  KSYSTEM_SERVICE_TABLE   win32k;          // win32k.sys 的服务函数(GDI32.dll/User32.dll 的内核支持)  KSYSTEM_SERVICE_TABLE   notUsed1;  KSYSTEM_SERVICE_TABLE   notUsed2;
}KSERVICE_TABLE_DESCRIPTOR, *PKSERVICE_TABLE_DESCRIPTOR;// KeServiceDescriptorTable 是 ntoskrnl.exe 所导出的全局变量 申明一下就可以直接使用了
extern PKSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable;//2. 准备用于替换的函数
NTSTATUS MyNtOpenProcess(PHANDLE ProcessHandle,ACCESS_MASK DesiredAccess,POBJECT_ATTRIBUTES ObjectAttributes,PCLIENT_ID ClientId
){//自己的业务..各种过滤，或者修改返回结构NTSTATUS status;status = STATUS_SUCCESS;KdPrint(("%x %x %x %x \n", ProcessHandle, DesiredAccess, ObjectAttributes, ClientId));return ((NTOPENPROCESS)uOldNtOpenProcess)(ProcessHandle, DesiredAccess, ObjectAttributes, ClientId);
}//3. Hook
NTSTATUS HookNtOpenPRocess()
{NTSTATUS status;status = STATUS_SUCCESS;PageProtectOff();uOldNtOpenProcess = KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[0x7A];KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[0x7A] = (ULONG)MyNtOpenProcess;PageProtectOn();return status;
}//4. 恢复
NTSTATUS UnHookNtOpenPRocess()
{NTSTATUS status;status = STATUS_SUCCESS;PageProtectOff();KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[0x7A] = (ULONG)uOldNtOpenProcess;PageProtectOn();return status;
}//卸载函数
VOID DriverUnload(PDRIVER_OBJECT driver)
{UnHookNtOpenPRocess();DbgPrint("驱动程序已停止.\r\n");
}//驱动程序入口函数，相当于控制台的main函数
NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject,PUNICODE_STRING RegistryPath)
{DbgPrint("驱动程序已运行.\r\n");HookNtOpenPRocess();//设置一个卸载函数  便于退出DriverObject->DriverUnload = DriverUnload;return STATUS_SUCCESS;
}

第二步：查看PCHunter（未HOOK）

第三步：运行驱动程序

第四步：查看PCHunter（已HOOK）

Windows驱动开发学习笔记（五）—— SSDT HOOK相关推荐

Windows驱动开发学习笔记（六）—— Inline HOOK
Windows驱动开发学习笔记(六)-- Inline HOOK SSDT HOOK Inline Hook 挂钩执行流程脱钩实验一:3环 Inline Hook 实验二:0环 Inline H ...
Windows驱动开发学习笔记（七）—— 多核同步内核重载
Windows驱动开发学习笔记(七)-- 多核同步基础知识并发与同步分析 InterlockedIncrement 原子操作相关API 内核文件多核同步临界区示例一:错误的临界区示例二: ...
Windows驱动开发学习笔记（三）—— 内核空间内核模块
Windows驱动开发学习笔记(三)-- 内核空间&内核模块内核空间实验第一步:编译如下代码第二步:将 .sys 文件拷贝到虚拟机中第三步:部署 .sys 文件并运行第四步:创建一 ...
Windows驱动开发学习笔记（四）—— 3环与0环通信（常规方式）
Windows驱动开发学习笔记(四)-- 3环与0环通信(常规方式) 设备对象创建设备对象设置数据交互方式创建符号链接 IRP与派遣函数 IRP的类型其它类型的IRP 派遣函数派遣函数注册位 ...
Windows驱动开发学习笔记（二）—— 驱动调试内核编程基础
Windows驱动开发学习笔记(二)-- 驱动调试&内核编程基础基础知识驱动调试 PDB(Program Debug Database) WinDbg 加载 PDB 实验:调试 .sys ...
Windows驱动开发学习笔记（一）—— 环境配置第一个驱动程序
Windows驱动开发学习笔记(一)-- 环境配置&第一个驱动程序环境配置第一个驱动程序环境配置安装VS2010:https://pan.baidu.com/s/1uZWWxCtB60 ...
windows内核开发学习笔记十五：IRP结构
windows内核开发学习笔记十五:IRP结构 IRP(I/O Request Package)在windows内核中,有一种系统组件--IRP,即输入输出请求包.当上层应用程序需要访问底层输入输 ...
windows内核开发学习笔记十七：IRP 和 IO_STACK_LOCATION 的交互
windows内核开发学习笔记十七:IRP 和 IO_STACK_LOCATION 的交互前面两篇学习笔记分别介绍了IRP和IO_STACK_LOCATION,整个设备栈来处理这个IRP,但是每个设 ...
Android深度探索(卷1)HAL与驱动开发学习笔记（8）
Android深度探索(卷1)HAL与驱动开发学习笔记(8) 第八章蜂鸣器驱动 L i n u x驱动的代码重用有很多种方法.可以采用标准C程序的方式.将要重用的代码放在其他的文件(在头文件中声 ...

Windows驱动开发学习笔记（五）—— SSDT HOOK

Windows驱动开发学习笔记（五）—— SSDT HOOK

系统服务表

系统服务描述符表

实验一：通过代码获取SSDT表地址

通过页表基址修改页属性

方法1：修改页属性

方法2：修改CR0寄存器

实验二：SSDT HOOK

第一步：编译如下代码

第二步：查看PCHunter（未HOOK）

第三步：运行驱动程序

第四步：查看PCHunter（已HOOK）

Windows驱动开发学习笔记（五）—— SSDT HOOK相关推荐

最新文章

热门文章