x64驱动遍历 DPC 定时器

目的

拿到类似于 PChunter 中的信息：

过程

首先，要拿到系统的 _KPRCB ，也就是 KiProcessorBlock 的地址：
我这里显示了 4 地址，这是因为我的 CPU 是 4 核 ——
(垃圾电脑勿喷)
对于 KiProcessorBlock 这个 API , Windows 没有导出：
但是可以通过另一种办法获取到这个地址：

// 获取特殊寄存器中的值，拿 _KPRCB
ULONG64 PrcbAddress = (ULONG64)__readmsr(0xC0000101) + 0x20;// PrcbAddress 是一个地址，这个地址存放了某个 CPU 的 _KPRCB 的地址
DbgPrint("[LYSM] *(ULONG_PTR*)PrcbAddress = %p\n", *(ULONG_PTR*)PrcbAddress);

因为当前 CPU 不一定运行在哪一个核上，所以我们用这个指令获取到的值可能是 fffff80396987180 也可能是 ffff80009eba0180。

如果想要获取指定核心的 _KPRCB，则需要使用以下代码将当前线程绑定在指定的 CPU 上,具体方法之后再讲，这里先跳过。

获取到 _KPRCB 地址后，看一下它的结构：

lkd> dt _KPRCB fffff803`96987180

在 +0x3680 偏移处有一个成员 TimerTable(这个偏移在不同系统是不同的，win10是 0x3680，win7是 0x2200，其他的请自行查阅)
这是一个 _KTIMER_TABLE 结构，继续查看：

dt _KTIMER_TABLE 0xfffff80396987180+0x3680

在 +0x200 处有一个 _KTIMER_TABLE_ENTRY 类型的成员 TimerEntries[256]

dt _KTIMER_TABLE_ENTRY 0xfffff80396987180+0x3680+0x200

这是一个数组，大小为 0x20(其实就是两个指针加上一个结构体，这个结构体内也是两个指针，一共4个指针，4*8=32=0x20)继续观察，+0x08 处有一个 _LIST_ENTRY 类型的成员 Entry

再观察 Entry 的结构,它是一个双向链表：

dt _LIST_ENTRY 0xfffff80396987180+0x3680+0x200+0x08

那么它的数据结构我们大致清楚了，是对象数组+双向链表，由于我刚才重启了一次，现在的 _KPRCB 里的值已经变成了 0xfffff80109fde180：
按之前的计算方式，来到 0xfffff80109fde180+0x3680+0x200,来到对象数组的头部：① 其实就是对象数组中的 Lock，② 和 ③ 分别是双向链表的 Flink 和 Blink ，④ 是对象数组中的 Time 。

Lock 恒等于 0，Time 是一个动态变化的值，这些都不需要关心。只需要关心 ② 即可：
(因为内存里的值变化较快，所以请参考新图中的数据)
(1)比如第一个 Entry 的 FLink 指向了它本身，说明这个双向链表是空的，可以直接 pass 掉：(2)往下找，找到一个不指向自己的 Fink：(我重新执行了下指令所以和上一个图不一样)
看到这个双向链表是有长度的：但是这种内存变化的非常快，我们无法对它实时的分析(当然双机调试除外)，在这里我就只说下找到它的原理。剩余的用代码来完成。

首先访问这个 FLink 指向的地址，判断这个地址是否已经到达了双向链表的结尾(结尾就是头部，在上图中就是 fffff80109fe1b68),如果没有结束，则判断这个Flink 指向的地址是否非法，如果合法 —— 关键点来了！

如果合法，就计算 FLink 指针 - 0x20 ，为什么？
因为 FLink 是一个 PLIST_ENTRY 类型的指针，-0x20 就是反推出 _KTIMER 对象的地址：

而这个地址，其实就是 dpc 定时器中的 定时器对象地址：
当然，拿到了 _KTIMER 对象后，也可以通过 Period 这个成员拿到定时器的触发周期：继续划重点！
那么函数入口地址怎么拿呢？
_KTIMER 里有一个成员 *DPC，这个是一个结构体对象指针，它指向一个这样的结构：DeferredRoutine 就是我们想要的函数地址，其他的成员暂时不关心。

但有一点需要注意，当你拿到了 _KTIMER 对象了以后，通过 _KTIMER->Dpc 的方式拿到的其实是一个错误的 Dpc 地址，如果想要拿到正确的地址，我们要对这个错误地址进行解密！(我说的是 x64，x86下的是不需要解密的)

首先用 Windbg 找到 KeSetTimer 这个函数：
这知识一个空壳函数，真正的代码存放在 KiSetTimerEx 内(但只有 KeSetTimer 被导出了！)：
大概意思就是一些 异或运算，循环右移，反序，如果看不明白可以参考下面的高级语言代码。

此处应该有掌声