学习重载内核的一点总结.pdfVIP

学习重载内核的一点总结 学习各种外挂制作技术，马上去百度搜索 魔鬼作坊 点击第一个站进入、快速 成为做挂达人。 SSDT HOOK 中的获取函数服务号：(因为SSDT 中的函数在ntdll.dll均为导出函数) R3下：1）LoadLibrary ntdll.dll 2）GetProcAddress 得到ntdll.dll导出表中函数地址address 3）FunctionIndex = *( PULONG )( address + 1 ) 4）服务号传给驱动 R0下：1）利用MmGetSystemRoutineAddress函数获取ntoskrnl.exe 导出表中函数地址 2）同样解析ntdll.dll 导出表：1、利用ZwQuerySystemInformation获取ntdll.dl l 基址 2、ZwCreateFile ZwCreateSection ZwMapViewOfSection映射内存获得ntdll.dll 基址 SSDT 的恢复： 原理：找到SSDT 表在文件中的文件偏移，然后重定向，直接得到函数地址 R3下：由于R3无法访问内核文件（ntoskrnel.exe 为例），因此要把内核文件映射到内存， R3搜索ntoskrnl.exe 重定位表（因为该表是在 KiInitSystem 中初始化的）获得SSDT 的文 件偏移 R0下：R0可以直接访问ntoskrnl.exe，得到SSDT 的文件偏移，然后重定位得到函数地址 SSDT 服务号：解析ntdll.dll导出表 SSDT 原始地址：文件偏移重定位 SSDT 当前地址：传入服务号给驱动得到当前地址 SSDT 函数名的定位：解析ntdll.dll导出表ENT就可得到SSDT 函数名 SSDT 模块查询：ZwQuerySystemInformation 传入SystemModuleInformation（11）得到 系统模块列表，得到每个模块的起始和结束地址，比对地址，在那个范围就属于哪个模块， 得到模块名。 学习各种外挂制作技术，马上去百度搜索 魔鬼作坊 点击第一个站进入、快速 成为做挂达人。 SSDT HOOK 中的获取函数服务号：(因为SSDT 中的函数在ntdll.dll均为导出函数) R3下：1）LoadLibrary ntdll.dll 2）GetProcAddress 得到ntdll.dll导出表中函数地址address 3）FunctionIndex = *( PULONG )(address + 1) 4）服务号传给驱动 R0下：1）利用MmGetSystemRoutineAddress函数获取ntoskrnl.exe 导出表中函数地址 2）同样解析ntdll.dll导出表：1、利用ZwQuerySystemInformation获取ntdll.dll 基址 2、ZwCreateFile ZwCreateSection ZwMapViewOfSection 映射内存获得 ntdll.dll 基址 SSDT 的恢复： 原理：找到SSDT 表在文件中的文件偏移，然后重定向，直接得到函数地址 R3下：由于R3无法访问内核文件（ntoskrnel.exe为例），因此要把内核文件映射到内存， R3搜索ntoskrnl.exe 重定位表（因为该表是在KiInitSystem 中初始化的）获得SSDT 的文 件偏移 R0下：R0可以直接访问ntoskrnl.exe，得到SSDT 的文件偏移，然后重定位得到函数地址 SSDT 服务号：解析ntdll.dll导出表 SSDT 原始地址：文件偏移重定位 SSDT 当前地址：传入服务号给驱动得到当前地址 SSDT 函数名的定位：解析ntdll.dll导出表ENT就可得到SSDT 函数名 SSDT 模块查询：ZwQuerySystemInformation传入SystemModuleInformation（11）得到 系统模块列表，得到每个模块的起始和结束地址，比对地址，在那个范围就属于哪个模块， 得到模块名。