1. ULONG
  2. GetShadowSsdtCurrentAddresses(
  3. PSSDT_ADDRESS   AddressInfo,
  4. PULONG          Length
  5. )
  6. {
  7. PSYSTEM_SERVICE_TABLE KeServiceDescriptorTableShadow = NULL;
  8. ULONG NumberOfService = 0;
  9. ULONG ServiceId = 0;
  10. PKAPC_STATE ApcState;
  11. ULONG i;
  12. if (AddressInfo == NULL || Length == NULL)
  13. {
  14. KdPrint(("[GetShadowSsdtCurrentAddresses] 输入参数无效"));
  15. return 0;
  16. }
  17. //KdPrint(("pid = %d", PsGetCurrentProcessId()));
  18. ServiceId = (ULONG)PsGetCurrentProcessId();
  19. if (!g_CsrssProcess) {
  20. PsLookupProcessByProcessId((PVOID)ScPsGetCsrssProcessId(), &g_CsrssProcess);
  21. }
  22. KeServiceDescriptorTableShadow = GetKeServiceDescriptorTableShadow();
  23. if (KeServiceDescriptorTableShadow == NULL)
  24. {
  25. KdPrint(("[GetShadowSsdtCurrentAddresses] GetKeServiceDescriptorTableShadow failed"));
  26. return 0;
  27. }
  28. NumberOfService = KeServiceDescriptorTableShadow->NumberOfService;
  29. if (Length[0] < NumberOfService * sizeof(SSDT_ADDRESS))
  30. {
  31. Length[0] = NumberOfService * sizeof(SSDT_ADDRESS);
  32. return 0;
  33. }
  34. ApcState = ExAllocatePoolWithTag(NonPagedPool, sizeof(KAPC_STATE), MEM_TAG);
  35. KeStackAttachProcess((PRKPROCESS)g_CsrssProcess, ApcState);
  36. for (ServiceId = 0; ServiceId < NumberOfService; ServiceId ++)
  37. {
  38. AddressInfo[ServiceId].FunAddress = (ULONG)
  39. KeServiceDescriptorTableShadow->ServiceTableBase[ServiceId];
  40. AddressInfo[ServiceId].nIndex = ServiceId;
  41. }
  42. KeUnstackDetachProcess(ApcState);
  43. ExFreePool(ApcState);
  44. Length[0] = NumberOfService * sizeof(SSDT_ADDRESS);
  45. return NumberOfService;
  46. }
  47. ///////////////////////////////////////////////////////////////////////////////////
  48. //
  49. //  功能实现:枚举当前Shadow SSDT 表函数地址
  50. //  输入参数:void
  51. //  输出参数:返回Shadow ssdt table
  52. //
  53. ///////////////////////////////////////////////////////////////////////////////////
  54. PSYSTEM_SERVICE_TABLE
  55. GetKeServiceDescriptorTableShadow(VOID)
  56. {
  57. PSYSTEM_SERVICE_TABLE ShadowTable = NULL;
  58. ULONG   ServiceTableAddress = 0;
  59. PUCHAR  cPtr = NULL;
  60. for (cPtr = (PUCHAR)KeAddSystemServiceTable;
  61. cPtr < (PUCHAR)KeAddSystemServiceTable + PAGE_SIZE;
  62. cPtr += 1 )
  63. {
  64. if (!MmIsAddressValid(cPtr))  continue;
  65. ServiceTableAddress = *(PULONG)cPtr;
  66. if (!MmIsAddressValid((PVOID)ServiceTableAddress)) continue;
  67. if (memcmp((PVOID)ServiceTableAddress, &KeServiceDescriptorTable, 16) == 0)
  68. {
  69. if ((PVOID)ServiceTableAddress == &KeServiceDescriptorTable) continue;
  70. ShadowTable = (PSYSTEM_SERVICE_TABLE)ServiceTableAddress;
  71. ShadowTable ++;
  72. return ShadowTable;
  73. }
  74. }
  75. return NULL;
  76. }
  77. //
  78. // 方法2,通过硬编码实现,不通用
  79. //
  80. PSYSTEM_SERVICE_TABLE
  81. GetKeServiceDescriptorTableShadow_2(VOID)
  82. /*++
  83. KeAddSystemServiceTable函数
  84. 805ba5a3 8d8840a65580    lea    ecx,nt!KeServiceDescriptorTableShadow (8055a640)[eax]
  85. 805ba5a9 833900          cmp    dword ptr [ecx],0
  86. --*/
  87. {
  88. PSYSTEM_SERVICE_TABLE ShadowTable;
  89. ULONG   ServiceTableAddress;
  90. PUCHAR  cPtr, pOpcode;
  91. ULONG   Length = 0;
  92. for (cPtr = (PUCHAR)KeAddSystemServiceTable;
  93. cPtr < (PUCHAR)KeAddSystemServiceTable + PAGE_SIZE;
  94. cPtr += Length )
  95. {
  96. if (!MmIsAddressValid(cPtr))  return NULL;
  97. Length = SizeOfCode(cPtr, &pOpcode);
  98. if (!Length || (Length == 1 && *pOpcode == 0xC3)) return NULL;
  99. if (*(PUSHORT)pOpcode == 0x888D)
  100. {
  101. ServiceTableAddress = *(PULONG)(pOpcode + 2);
  102. ShadowTable = (PSYSTEM_SERVICE_TABLE)ServiceTableAddress;
  103. ShadowTable ++;
  104. return ShadowTable;
  105. }
  106. }
  107. return NULL;
  108. }

ULONG
GetShadowSsdtCurrentAddresses(
PSSDT_ADDRESS AddressInfo,
PULONG Length
)
{
PSYSTEM_SERVICE_TABLE KeServiceDescriptorTableShadow = NULL;
ULONG NumberOfService = 0;
ULONG ServiceId = 0;
PKAPC_STATE ApcState;
ULONG i;

if (AddressInfo == NULL || Length == NULL)
{
KdPrint(("[GetShadowSsdtCurrentAddresses] 输入参数无效"));
return 0;
}

//KdPrint(("pid = %d", PsGetCurrentProcessId()));
ServiceId = (ULONG)PsGetCurrentProcessId();

if (!g_CsrssProcess) {
PsLookupProcessByProcessId((PVOID)ScPsGetCsrssProcessId(), &g_CsrssProcess);
}

KeServiceDescriptorTableShadow = GetKeServiceDescriptorTableShadow();

if (KeServiceDescriptorTableShadow == NULL)
{
KdPrint(("[GetShadowSsdtCurrentAddresses] GetKeServiceDescriptorTableShadow failed"));
return 0;
}

NumberOfService = KeServiceDescriptorTableShadow->NumberOfService;
if (Length[0] < NumberOfService * sizeof(SSDT_ADDRESS))
{
Length[0] = NumberOfService * sizeof(SSDT_ADDRESS);
return 0;
}

ApcState = ExAllocatePoolWithTag(NonPagedPool, sizeof(KAPC_STATE), MEM_TAG);
KeStackAttachProcess((PRKPROCESS)g_CsrssProcess, ApcState);

for (ServiceId = 0; ServiceId < NumberOfService; ServiceId ++)
{
AddressInfo[ServiceId].FunAddress = (ULONG)
KeServiceDescriptorTableShadow->ServiceTableBase[ServiceId];
AddressInfo[ServiceId].nIndex = ServiceId;
}

KeUnstackDetachProcess(ApcState);
ExFreePool(ApcState);

Length[0] = NumberOfService * sizeof(SSDT_ADDRESS);
return NumberOfService;
}

///////////////////////////////////////////////////////////////////////////////////
//
// 功能实现:枚举当前Shadow SSDT 表函数地址
// 输入参数:void
// 输出参数:返回Shadow ssdt table
//
///////////////////////////////////////////////////////////////////////////////////
PSYSTEM_SERVICE_TABLE
GetKeServiceDescriptorTableShadow(VOID)
{
PSYSTEM_SERVICE_TABLE ShadowTable = NULL;
ULONG ServiceTableAddress = 0;
PUCHAR cPtr = NULL;

for (cPtr = (PUCHAR)KeAddSystemServiceTable;
cPtr < (PUCHAR)KeAddSystemServiceTable + PAGE_SIZE;
cPtr += 1 )
{
if (!MmIsAddressValid(cPtr)) continue;

ServiceTableAddress = *(PULONG)cPtr;
if (!MmIsAddressValid((PVOID)ServiceTableAddress)) continue;

if (memcmp((PVOID)ServiceTableAddress, &KeServiceDescriptorTable, 16) == 0)
{
if ((PVOID)ServiceTableAddress == &KeServiceDescriptorTable) continue;
ShadowTable = (PSYSTEM_SERVICE_TABLE)ServiceTableAddress;
ShadowTable ++;
return ShadowTable;
}
}
return NULL;
}
//
// 方法2,通过硬编码实现,不通用
//
PSYSTEM_SERVICE_TABLE
GetKeServiceDescriptorTableShadow_2(VOID)
/*++
805ba5a3 8d8840a65580 lea ecx,nt!KeServiceDescriptorTableShadow (8055a640)[eax]
805ba5a9 833900 cmp dword ptr [ecx],0
--*/
{
PSYSTEM_SERVICE_TABLE ShadowTable;
ULONG ServiceTableAddress;
PUCHAR cPtr, pOpcode;
ULONG Length = 0;

for (cPtr = (PUCHAR)KeAddSystemServiceTable;
cPtr < (PUCHAR)KeAddSystemServiceTable + PAGE_SIZE;
cPtr += Length )
{
if (!MmIsAddressValid(cPtr)) return NULL;

Length = SizeOfCode(cPtr, &pOpcode);

if (!Length || (Length == 1 && *pOpcode == 0xC3)) return NULL;

if (*(PUSHORT)pOpcode == 0x888D)
{
ServiceTableAddress = *(PULONG)(pOpcode + 2);
ShadowTable = (PSYSTEM_SERVICE_TABLE)ServiceTableAddress;
ShadowTable ++;
return ShadowTable;
}
}
return NULL;
}

两种方法获取shadow ssdt的更多相关文章

  1. 两种方法获取MyBatis刚刚插入的id

    主要就是在xml文件中的写法,其他省略 方法一: <insert id="insert" parameterType="com.xxx.xxxx.pojo.User ...

  2. Delphi使用两种不同方法获取系统端口信息--(装载)

    Delphi使用两种方法获取windows系统的端口,还可测试发送消息,点击获取端口信息后,可依次得到如下信息:DCB结构大小.波特率大小.XON的临界值.XOFF的临界值.字符位数.奇偶检验位.停止 ...

  3. 用easyui从servlet传递json数据到前端页面的两种方法

    用easyui从servlet传递json数据到前端页面的两种方法 两种方法获取的数据在servlet层传递的方法相同,下面为Servlet中代码,以查询表中所有信息为例. //重写doGet方法 p ...

  4. windows下获取IP地址的两种方法

    windows下获取IP地址的两种方法: 一种可以获取IPv4和IPv6,但是需要WSAStartup: 一种只能取到IPv4,但是不需要WSAStartup: 如下: 方法一:(可以获取IPv4和I ...

  5. 获取网页URL地址及参数等的两种方法(js和C#)

    转:获取网页URL地址及参数等的两种方法(js和C#) 一 js 先看一个示例 用javascript获取url网址信息 <script type="text/javascript&q ...

  6. Java 获取*.properties配置文件中的内容 ,常见的两种方法

    import java.io.InputStream; import java.util.Enumeration; import java.util.List; import java.util.Pr ...

  7. php获取数组中重复数据的两种方法

    分享下php获取数组中重复数据的两种方法. 1,利用php提供的函数,array_unique和array_diff_assoc来实现 <?php function FetchRepeatMem ...

  8. javascript获取json对象的key名称的两种方法

    javascript获取json对象的key名称的两种方法 数据处理中,你可能接收到一个不确定内容格式的json对象,然后要把key的值提取出来.今天试过两种可以提取json key的方法,均可以正常 ...

  9. 使用JavaScript获取URL中的参数(两种方法)

    本文给大家分享两种方法使用js获取url中的参数,其中方法二是使用的正则表达式方法,大家可以根据需要选择比较好的方法,废话不多说了,直接看详细介绍吧. 方法一: //取url参数 var type = ...

随机推荐

  1. 第七天 面向对象进阶与socket编程

    1.静态方法(用得少)(解除某个函数跟类的关联,加了静态方法后,类便不能将类的参数传给静态方法函数了) class Dog(object): def __init__(self,name): @sta ...

  2. Effective C++ -----条款50:了解new 和delete 的合理替换时机

    有许多理由需要写个自定的new 和delete ,包括改善效能.对heap 运用错误进行调试.收集heap 使用信息.

  3. 使用CSS中margin和padding的基础和注意事项

    在CSS中,margin和padding是页面布局的主要属性,如何灵活有效使用对于基于DIV+CSS设计网页方法是非常重要的,笔者经常使用且经常误使用,所以根据经验和网上资料整理出切合自己的内容,以备 ...

  4. jquery.base64.js简单使用

    jquery.base64.js, 加密,使用,先引入jquery,然后引入jquery.base64.js 使用如下 js中加密如下 $.base64.encode(result[i].ipadre ...

  5. 【leetcode】Populating Next Right Pointers in Each Node I & II(middle)

    Given a binary tree struct TreeLinkNode { TreeLinkNode *left; TreeLinkNode *right; TreeLinkNode *nex ...

  6. 【XLL API 函数】xlfUnregister (Form 2)

    此函数可以被 Excel 已经载入的 XLL 或 DLL 调用.它等效于宏表函数 UNREGISTER. xlfUnregister 有两种调用形式: 形式1:Unregister 单独的命令或函数 ...

  7. IOS - Foundation和Core Foundation掺杂使用桥接

    Foundation和Core Foundation掺杂使用桥接 Toll-Free Bridging 在cocoa application的应用中,我们有时会使用Core Foundation(CF ...

  8. September 11th 2016 Week 38th Sunday

    Nothing happens unless first a dream. 一切始于梦想. When everything seems to be going against you, remembe ...

  9. css+html 关于文本的总结(整理中)

    布局1:固定行数 <div> <p>示例文字示例文字示例文字示例文字</p> </div> <!-- CSS代码 --> div{ widt ...

  10. 在VC中创建并调用DLL

    转自:http://express.ruanko.com/ruanko-express_45/technologyexchange6.html 一.DLL简介 1.什么是DLL? 动态链接库英文为DL ...