XP取SSDT表中指定索引号的函数地址

SSDT.h头文件

#ifndef _SSDT_H_
#define _SSDT_H_

// NT操作系统有多张服务表，SSDT就是其中一张
// NT操作系统使用如下结构描述一张服务表
typedef struct _KSERVICE_TABLE_DESCRIPTOR { 
	PULONG_PTR Base; 	// 服务表地址
	PULONG Count; 		// 服务表中服务被调用次数的计数器
	ULONG Limit; 		// 服务个数，即有多少个函数了
	PUCHAR Number; 		// 服务参数表
} KSERVICE_TABLE_DESCRIPTOR, *PKSERVICE_TABLE_DESCRIPTOR; 

// 流传NT使用下面的代码在模块ntoskrnl.exe中导出KeServiceDescriptorTable
//#define NUMBER_SERVICE_TABLES 4 
//extern KSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable[NUMBER_SERVICE_TABLES]; 
//extern KSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTableShadow[NUMBER_SERVICE_TABLES];

// 根据流传，我们直接声明KeServiceDescriptorTable，就可使用它了
__declspec(dllimport) extern "C" PKSERVICE_TABLE_DESCRIPTOR	KeServiceDescriptorTable;

class CSSDT
{
public:
	CSSDT(void);
	~CSSDT(void);

	void Show_SSDT(void);	// 查看SSDT表
	ULONG_PTR GetFunctionAddr(int iFunIndex);		// 取SSDT表中指定索引号的函数地址
};

#endif	// _SSDT_H_

-----------------------------------------

SSDT.cpp文件内容：

#include "stdafx.h"
#include "SSDT.h"


CSSDT::CSSDT(void)
{

}


CSSDT::~CSSDT(void)
{

}


/**
@Name:    Show_SSDT
@Brief	  查看SSDT表   
@Param:   void
@Return:  void
*/
void CSSDT::Show_SSDT(void)
{
	KSERVICE_TABLE_DESCRIPTOR ssdt = KeServiceDescriptorTable[0];

	KdPrint(("[Show_SSDT] KeServiceDescriptorTable=0x%X \n", KeServiceDescriptorTable));

	ssdt.Limit = ssdt.Limit > 0x11C ? 0x11C : ssdt.Limit;
	for (int i = 0; i < ssdt.Limit; i++)
	{
		KdPrint(("[Show_SSDT %d] 0x%X \n", i, ssdt.Base[i]));
	}
}


/**
@Name:    GetFunctionAddr
@Brief	  取SSDT表中指定索引号的函数地址   
@Param:   int iFunIndex
@Return:  成功返回指定索引号的函数地址，失败返回NULL
*/
ULONG_PTR CSSDT::GetFunctionAddr(int iFunIndex)
{
	KSERVICE_TABLE_DESCRIPTOR ssdt = KeServiceDescriptorTable[0];
	if (iFunIndex > ssdt.Limit)
	{
		KdPrint(("[GetFunctionAddr] failed: 索引超出范围  iFunIndex=%d > %d \n", iFunIndex, ssdt.Limit));
		return NULL;
	}
	return ssdt.Base[iFunIndex];
}

---------------------------------------------------------------

// 驱动入口
	#pragma INITCODE
	NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING  RegistryPath)
	{
		DriverObject->DriverUnload = DriverUnload;
		KdPrint(("hello DriverEntry \r\n"));

		CSSDT objSSDT;
		//objSSDT.Show_SSDT();

		KdPrint(("ssdt 0号函数地址：0x%X", objSSDT.GetFunctionAddr(0)));
		KdPrint(("ssdt 122号函数地址：0x%X", objSSDT.GetFunctionAddr(122)));
		KdPrint(("ssdt 123号函数地址：0x%X", objSSDT.GetFunctionAddr(123)));

		return STATUS_SUCCESS;
	}

-------------------------------------

效果截图：