SSDT HOOK 内存写保护

有些人说不去掉也不会蓝屏，照样能HOOK成功
确实，我当时也是这样过。。。
不过拿给别人机器一测试就蓝了

网上找到了MJ给出的答案：
当使用大页面映射内核文件时，代码段和数据段在一块儿，所以页必须是可写的，这种情况下直接改是没有问题的

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management下面增加两个DWORD值'LargePageMinimum" = 0xFFFFFFFF, "EnforceWriteProtection" = 1，重启，重新跑自己的驱动。。。 
win2k上RAM超过127M，winxp和win server 2003上RAM超过255M，内存管理器会使用大页面（x86上4M，IA64和X86-64上16M）来映射Ntoskrnl.exe，这样由于代码和数据可能驻留在同一个页面，所以代码写保护是被禁止的。以上两个注册表修改项，第一个指明了当内存数量达到多少时使用大页面来映射ntoskrnl，设置成0xFFFFFFFF就是相当于无限大，因此不会使用大页面。第二个开启代码写保护。

一般去掉写保护有三种方法：
1.更改注册表（需要重启）
HKLM/SYSTEM/CurrentControlset/Control/Session Manger/
Memory Management/EnforceWriteProtection=0
与
HKLM/SYSTEM/CurrentControlset/Control/Session Manger/
Memory Management/DisablePagingExecutive=1

2.修改控制寄存器cr0
就是把CR0中的WP(写保护)位设置为0，就可以禁止内存保护了。

[cpp]  view plain  copy

1. //取消内存保护  
2. _asm  
3. {  
4.     Push eax  
5.     Mov eax,CR0  
6.     And eax,0FFFEFFFFh  
7.     Mov CR0,eax  
8.     Pop eax  
9. }  
10. //重新开启内存保护  下面的写法是否存在bug呢？？？
11. _asm  
12. {  
13.     Push eax  
14.     Mov eax,CR0  
15.     Or eax NOT 0FFFEFFFFh  
16.     Mov CR0,eax  
17.     Pop eax  
18. }  

正确的方法应该是：首先要保存cr0数据，然后关闭内存写保护；最后使用保存的cr0数据恢复cr0寄存器数据

3. 利用MDL(Memory Descriptor List)来绕过写保护
我们可以在MDL中描述一段内存，包括内存段的起始位置、所拥有的进程、字节数、内存段的标志等等。

[cpp]  view plain  copy

1. //MDL reference defined in ntddk.h  
2. Typedef struct  _MDL{  
3.     Struct  _MDL    *Next;  
4.     CSHORT  Size;  
5.     CSHORT  MdlFlags;  
6.     Struct  _EPROCESS   *Process;  
7.     PVOID   MappedSystemVa;  
8.     PVOID   StartVa;  
9.     ULONG   ByteCount;  
10.     ULONG   ByteOffset;  
11. }MDL,*PMDL;  
12. //MDL Flags  
13. #define MDL_MAPPED_TO_SYSTEM_VA     0x0001  
14. #define MDL_PAGES_LOCKED                0x0002  
15. #define MDL_SOURCE_IS_NONPAGED_POOL 0x0004  
16. #define MDL_ALLOCATED_FIXED_SIZE        0x0008  
17. #define MDL_PARTIAL                     0x0010  
18. #define MDL_PARTIAL_HAS_BEEN_MAPPED 0x0020  
19. #define MDL_IO_PAGE_READ                0x0040  
20. #define MDL_WRITE_OPERATION             0x0080  
21. #define MDL_PARENT_MAPPED_SYSTEM_VA 0x0100  
22. #define MDL_LOCK_HELD                   0x0200  
23. #define MDL_PHYSICAL_VIEW               0x0400  
24. #define MDL_IO_SPACE                        0x0800  
25. #define MDL_NETWORK_HEADER          0x1000  
26. #define MDL_MAPPING_CAN_FAIL            0x2000  
27. #define MDL_ALLOCATED_MUST_SUCCEED  0x4000  

为了改变内存的标志，下面的代码首先声明一个结构体，用来保存从windows内核中导出的KeServiceDescriptorTable。当调用MmCreateMdl时，需要知道KeServiceDescriptorTable的基地址和它所拥有的函数入口的数量。这个函数定义了你想要MDL描述的内存段的起始地址和大小，然后应用程序在内存的非分页内存中创建MDL。在应用程序中可以通过改变MDL的标志使得可以写内存段，也就是把MDLFlag设置为MDL_MAPPED_TO_SYSTEM_VA，然后调用MmMapLockedPages来锁定内存中的MDL页。在下面的代码中，MappedSystemCallTable中的地址与SSDT的内容相一致，但是现在你可以修改它了。

[cpp]  view plain  copy

1. //声明  
2. #pragma pack(1)  
3. Typedef struct  ServiceDescriptorEntry{  
4.     Unsigned int*   ServiceTableBase;  
5.     Unsigned int*   ServiceCounterTableBase;  
6.     Unsigned int    NumberOfService;  
7.     Unsigned char*  ParamTableBase;  
8. }SSDT_Entry;  
9. #pragma pack()  
10. _declspec(dllimport) SSDT_Entry KeServiceDescriptorTable;  
11. PMDL    g_pmdlSystemCall;  
12. PVOID   *MappedSystemCallTable;  
13. //保存原始的系统调用地址，映射到我们的域中，来改变MDL的保护  
14. g_pmdlSystemCall = MmCreateMdl(NULL,  
15.                 KeServiceDescriptorTable,  
16.                 ServiceTableBase,  
17.                 KeServcieDescriptorTable.NumberOfService*4);  
18. If(!g_pmdlSystemCall)  
19.     Return STATUS_UNSUCCESSFUL;  
20. MmBuildMdlForNonPagedPool(g_pmdlSystemCall);  
21. //改变MDL的标志  
22. g_pmdlSystemCall->MdlFlags = g_pmdlSystemCall->MdlFlags |   
23.                         MDL_MAPPED_TO_SYSTEM_VA  
24. MappedSystemCallTable = MmMapLockedPages(g_pmdlSystemCall,KernelMode);  

下面列出几个对SSDT Hook比较有用的几个宏。

[cpp]  view plain  copy

1. #define HOOK_INDEX(function2hook) *(PULONG)((PUCHAR)function2hook + 1)  
2. #define HOOK(functionName, newPointer2Function, oldPointer2Function )  /  
3. oldPointer2Function = (PVOID) InterlockedExchange( (PLONG) &NewSystemCallTable[HOOK_INDEX(functionName)], (LONG) newPointer2Function)  
4. #define UNHOOK(functionName, oldPointer2Function)  /  
5. InterlockedExchange( (PLONG) &NewSystemCallTable[HOOK_INDEX(functionName)], (LONG) oldPointer2Function)  
6. #define UNHOOK(functionName, oldPointer2Function)  /  
7. InterlockedExchange( (PLONG) &NewSystemCallTable[HOOK_INDEX(functionName)], (LONG) oldPointer2Function)