標題:【】SSDTHook的妙用－對抗ring0inline作者:天時間:2007-03-鏈接: *標題:【】SSDTHook的妙用－對抗ring0inline *作者: *日期:20073 *:本文章的目的僅為技術交流討 SSDT即系統服務描述符表，它的結構如下(參考《UnWindows2000Secretes》第struct{ //服務函數的個數,NumberOfService*4 typedefstruct{ //ntoskrnl.exe //win32k.sys數,(gdi.dll/user.dll的內核支持) KeServiceDescriptorTable(ntoskrnl.exeKeServieDescriptorTableShadow(沒有導出)。兩者的區別是，KeServiceDescriptorTablentoskrnel，KeServieDescriptorTableShadow包含了ntoskrnelwin32kNativeAPIKeServiceDescriptorTable，gdi.dll/user.dllAPIKeServieDescriptorTableShadowwin32k.sysGUIHookKeServieDescriptorTableShadowGUIIoControlCodeN2，SSDTSSDTHOOKKeServiceDescriptorTablelkd>dd c他都是0。其中804e3d20就是KeServiceDescriptorTable.ntoskrnel.ServiceTableBase，0x11c804e3d20dd80599ff7 8062f4ecef 805716ef8057ab7180581b5c這些就是系統服務函數的地址了。比如當我們在ring3調用OpenProcess時，進入sysenter的ID是0x7A(XPSP2)，然后系統查KeServiceDescriptorTable.ntoskrnel.ServiceTableBase(804e3d20)+0x7A*4=804E3F08,然后804E3F08-> e這個就是OpenProcess系統服務函數所在,我們再看看:lkd> eoffsetnt!InterlockedPushEntrySList+0x79)原 e就是NtOpenProcess函數所在的起始地址 e改為指向我們函數的地址呢？比如MyNtOpenProcess，那么系統就會直接調用MyNtOpenProcess，而不是原來的NtOpenProcess了。這就是SSDTHOOK原理所在。3,ring0inlinering0inlinehook跟ring3ring3的話程序會掛掉，ring0發生什么差錯的話系統就掛掉，所以一定要很。inlinehook的基本思想就是在目標函數中JMP到自己的監視函數，做一些判斷然后再JMP回去。一般都是修改函數頭，不過再其他JMPlkd>unt!NtOpenProcesse 805755a3 805755a8 callnt!InterlockedPushEntrySList+0x79同時打開“冰刃”跟“RootkitUnhooker”NtOpenProcess觀”,第一個jmp是“冰刃”的，第二個jmp是“RootkitUnhooker”的。他們這樣是防止被程序通TerminateProcessHookNtTerminateProcessring0inlinehookNtOpenProcessMyNtOpenProcessSSDTMyNtOpenProcessMyNtOpenProcessNtOpenProcess10JMPNtOpenProcessNtOpenProcessJMPring3OpenProcesstypedefstruct{ }SERVICE_DESCRIPTOR_TABLE,*PSERVICE_DESCRIPTOR_TABLE;//由于KeServiceDescriptorTableextern VOIDHook();VOIDVOIDOnUnload(INPDRIVER_OBJECTULONGJmpAddress;//NtOpenProcessULONGOldServiceAddress;//NtOpenProcessdeclspec(naked)NTSTATUSstdcallMyNtOpenProcess(PHANDLEACCESS_MASKDesiredAccess,POBJECT_ATTRIBUTESObjectAttributes,P_IDId){DbgPrint("NtOpenProcess() }}NTSTATUSDriverEntry(INPDRIVER_OBJECTDriverObject,PUNICODE_STRING{DriverObject->DriverUnload=OnUnload;DbgPrint("Unhookerload");return}VOIDOnUnload(INPDRIVER_OBJECTDriverObject){DbgPrint("Unhookerunload!");}VOIDHook(){ Address=(ULONG)KeServiceDescriptorTable->ServiceTableBase+0x7A*4;//0x7ANtOpenProcessIDOldServiceAddress=*(ULONG*)Address;//NtOpenProcessJmpAddress=(ULONG)NtOpenProcess+10;//跳轉到NtOpenProcess＋10JMPasm{//去掉內存保護 eax,not10000h }*((ULONG*)Address)=(ULONG)MyNtOpenProcess;//HOOKasm{// }}VOIDUnhook(){ Address=(ULONG)KeServiceDescri