麦洛克菲内核驱动开发第五课.ppt

SSDT HOOK API 流程 ZW与NT函数（1） ntdll.dll Zw*与nt*函数 ntoskrnl.exe Zw*与nt*函数 ZW与NT函数（2） 区别： Ntdll.dll中：完全一样 Ntoskrnl.exe中： Zw*?nt*，即nt函数更底层 Zw*函数会把PreviousMode设置为KernelMode 然后再调用Nt*函数，因此在Nt*函数中就不会进行参数检查。而如果直接调用Nt*函数的话 , 必须自己将PreviousMode设置为KernelMode,否则PreviousMode很可能仍然是UserMode, 这样的话 Nt*函数就会认为对它的调用来自用户态,从而做一些检查,这时就会产生问题了. 因此要自己调用Nt*的话必须先将PreviousMode设为KernelMode SSDT表 API调用流程 Ntdll.dll 中的 API 是一个简单的包装函数。 当 Kernel32.dll 中的 API 通过 Ntdll.dll 时，会完成参数的检查再调用一个中断(int 2Eh 或者 SysEnter 指令)，从而实现从 Ring3 进入 Ring0 层 并且将所要调用的服务号(也就是在 SSDT 数组中的索引值)存放到寄存器 EAX 中 再根据存放在 EAX 中的索引值来在 SSDT 数组中调用指定的服务即Nt*系列函数 SSDT表结构 结构： #pragma pack(1) typedef struct ServiceDescriptorEntry { unsigned int *ServiceTableBase; unsigned int *ServiceCounterTableBase; unsigned int NumberOfServices; unsigned char *ParamTableBase; } ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t; #pragma pack() 导出： __declspec(dllimport) ServiceDescriptorTableEntry_t KeServiceDescriptorTable; 引用： #define SYSTEMSERVICE(_function) KeServiceDescriptorTable.ServiceTableBase[ *(PULONG)((PUCHAR)_function+1)] #define SDT SYSTEMSERVICE 要HOOK的API typedef NTSTATUS (*ZWCREATESECTION)( OUT PHANDLE SectionHandle, IN ULONG DesiredAccess, IN POBJECT_ATTRIBUTES ObjectAttributes OPTIONAL, IN PLARGE_INTEGER MaximumSize OPTIONAL, IN ULONG PageAttributess, IN ULONG SectionAttributes, IN HANDLE FileHandle OPTIONAL ); static ZWCREATESECTION OldZwCreateSection; NTSTATUS NTAPI HOOK_NtCreateSection(PHANDLE SectionHandle, ACCESS_MASK DesiredAccess, POBJECT_ATTRIBUTES ObjectAttributes, PLARGE_INTEGER SectionSize, ULONG Protect, ULONG Attributes, HANDLE FileHandle) { return OldZwCreateSection(SectionHandle, DesiredAccess, ObjectAttributes, SectionSize, Protect, Attributes, FileHandle); } HOOK(