SSDT知识

Windows API的真正实现都是在内核中，那么这些函数是如何组织，实现精准调用的呢？这就需要用到系统服务表（SDT）表。

　　Windows一共有两张表，每张表大小10h，每个成员占4h。

　　如图，其中函数地址表每成员四字节，函数参数表每成员一字节。

　　参数的数值是以字节为单位。

基本上我们使用的都是第一张表

如何找到系统服务表呢？

　　在Win7 32位中存于 [KTHREAD+0xbc]

　　kd> dt _KTHREAD
　　　　ntdll!_KTHREAD

　　　　+0x000 Header           : _DISPATCHER_HEADER

　　　　·······

　　　　+0x0bc ServiceTable     : Ptr32 Void

　　　　····

　　该结构地址为第一个表

 

当ring3层传递所要调用函数的索引后，我们根据索引找到SST表中对应函数和对应参数个数，就可以实现调用。

我们还有没有其他方式获得SST的方法呢，有就是SSDT表，这是一个系统的全局变量

在windbg中输入KeServiceDescriptorTable我们就能获取到这个变量

2: kd> dd nt!KeServiceDescriptorTable
849a6b00  848bb43c 00000000 00000191 848bba84
849a6b10  00000000 00000000 00000000 00000000
849a6b20  84c015b0 84b6a4f2 8491a38b 00000000
849a6b30  029c6997 0000002e 00000011 00000100
849a6b40  848bb43c 00000000 00000191 848bba84
849a6b50  83d96000 00000000 00000339 83d9702c
849a6b60  5385d2ba d717548f 00000000 00000000
849a6b70  849a6b6c 00000340 00000340 87d25900