蹂躏D&F学习之一

uf KeAddSystemServiceTable



[


]

一个叫二石的人在元月,在树下,吃月饼:

1.获取NtCreateFile索引:

方法一,不能用xuetr,xuetr只能看被HOOK的。PowerTool也只能看被HOOK的,不知道是不是比xuetr深入,可以看TP保护。KD:


方法二,OD:

附加随便一个进程。不需要运行,直接右击--查询--符号,进入下面的界面:

右击--选择反汇编窗口中跟随输入函数:


Ctrl+Shift+X,添加类向导:


删除代码段:


**********************************************************************************


ULONG GetSDDTAddr(ULONG uIndex)
{
	
}

typedef struct _SDT_ENTRY
{
	PVOID *ServiceTableBase;
	PULONG ServiceCounterTableBase; //Used only in checked build
	ULONG NumberOfServices;
	PUCHAR ParamTableBase;
} SDT_ENTRY, *PSDT_ENTRY;
***********************************************************************************************************

<img src="https://img-blog.csdn.net/20150115135603025?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvRVhQRU5G/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center" alt="" />
<pre name="code" class="cpp">//源文件
#include <ntddk.h>
#include "SSDTHOOK.h"
void UnloadDriver(PDRIVER_OBJECT pDriver);

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING str)
{
#if DBG
	_asm int 3
#endif
	//驱动 ->驱动卸载=卸载驱动
	pDriver->DriverUnload = UnloadDriver;
	//调试输出
	DbgPrint("Loading MyDriver...\r");//有一个换行的空格
	ULONG uAddr = GetSDDTAddr(0x42);
	if (uAddr)
	{
		KdPrint(("NtCreateFile:0x%08x\r", uAddr));
	}
	return 1;
}

void UnloadDriver(PDRIVER_OBJECT pDriver)
{
	//调试输出
	DbgPrint("unLoading MyDriver...\r");

}

 
<img src="https://img-blog.csdn.net/20150115135612946?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvRVhQRU5G/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center" alt="" />
<pre name="code" class="cpp">//SSDTHOOK.cpp
#include "SSDTHOOK.h"

ULONG GetSDDTAddr(ULONG uIndex)
{
	ULONG uAddr = *(PULONG)((ULONG)(*KeServiceDescriptorTable).ServiceTableBase + uIndex * sizeof(ULONG));
	return uAddr;
}
 
</pre><img src="https://img-blog.csdn.net/20150115135815109?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvRVhQRU5G/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center" alt="" /><br /><pre name="code" class="cpp">//SSDTHOOK.h
#pragma once

#ifdef  __cplusplus
extern "C" {
#endif
#include <ntddk.h>
#include <string.h>
#ifdef  __cplusplus
};// extern "C"
#endif


typedef struct _SDT_ENTRY
{
	PVOID *ServiceTableBase;
	PULONG ServiceCounterTableBase; //Used only in checked build
	ULONG NumberOfServices;
	PUCHAR ParamTableBase;
} SDT_ENTRY, *PSDT_ENTRY;

EXTERN_C SDT_ENTRY *KeServiceDescriptorTable;

ULONG GetSDDTAddr(ULONG uIndex);

Alt+5打开debug的内存窗口。


FlashFXP

windows XP桌面路径:C:\Documents and Settings\用户名\桌面

//没有VMTOOL 竟然可以共享剪贴板
Microsoft Windows XP [版本 5.1.2600]
(C) 版权所有 1985-2001 Microsoft Corp.

C:\Documents and Settings\Administrator>ipconfig

Windows IP Configuration


Ethernet adapter 本地连接:

        Connection-specific DNS Suffix  . : localdomain
        IP Address. . . . . . . . . . . . : 192.168.232.129
        Subnet Mask . . . . . . . . . . . : 255.255.255.0
        Default Gateway . . . . . . . . . : 192.168.232.2

C:\Documents and Settings\Administrator>
FileZilla(在查看里,把消息日志取消)可以比较目录。

FlashFXP建立本地连接不行;安装在系统盘。


//源文件
#include "mini_ddk.h"
#include "SSDTHOOK.h"




ULONG g_uOldNtCreateFileAddr = 0;
PFNNTCREATEFILE g_pfnNtCreateFile = NULL;

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING str)
{
//#if DBG
//	_asm int 3
//#endif
	//驱动 ->驱动卸载=卸载驱动
	pDriver->DriverUnload = UnloadDriver;
	//调试输出
	DbgPrint("Loading MyDriver...\r");//有一个换行的空格
	ULONG uAddr = GetSDDTAddr(0x42);
	if (uAddr)
	{
		g_pfnNtCreateFile = (PFNNTCREATEFILE)uAddr;
		HookSSDTByMdl(0x42, (ULONG)rlNtCreateFile, &g_uOldNtCreateFileAddr);

		
		KdPrint(("NtCreateFile:0x%08x\r", uAddr));

	}
	return 1;
}

void UnloadDriver(PDRIVER_OBJECT pDriver)
{
	UnHookSSDTByMdl(0x42, g_uOldNtCreateFileAddr);
	//调试输出
	DbgPrint("unLoading MyDriver...\r");
}

NTSTATUS rlNtCreateFile(
	_Out_     PHANDLE FileHandle,
	_In_      ACCESS_MASK DesiredAccess,
	_In_      POBJECT_ATTRIBUTES ObjectAttributes,
	_Out_     PIO_STATUS_BLOCK IoStatusBlock,
	_In_opt_  PLARGE_INTEGER AllocationSize,
	_In_      ULONG FileAttributes,
	_In_      ULONG ShareAccess,
	_In_      ULONG CreateDisposition,
	_In_      ULONG CreateOptions,
	_In_      PVOID EaBuffer,
	_In_      ULONG EaLength
	)
{
	if (ObjectAttributes  && ObjectAttributes->ObjectName)
	{
		if (wcsstr(ObjectAttributes->ObjectName->Buffer, L"1.txt") != 0)
		{
			KdPrint(("NtCreateFile %wZ\r"), ObjectAttributes->ObjectName);
			return STATUS_UNSUCCESSFUL;
		}

	}
	return g_pfnNtCreateFile(FileHandle, DesiredAccess, ObjectAttributes, IoStatusBlock, AllocationSize, FileAttributes,

		ShareAccess, CreateDisposition, CreateOptions, EaBuffer, EaLength);

}

//SSDTHOOK.cpp
#include "SSDTHOOK.h"

ULONG GetSDDTAddr(ULONG uIndex)
{
	ULONG uAddr = *(PULONG)((ULONG)(*KeServiceDescriptorTable).ServiceTableBase + uIndex * sizeof(ULONG));
	return uAddr;
}

BOOLEAN HookSSDT(ULONG uIndex, ULONG uNewAddr, PULONG puOldAddr)

{
	if (uNewAddr == 0 || puOldAddr == NULL)
	{
		return FALSE;
	}
	ULONG uAddr = ((ULONG)(*KeServiceDescriptorTable).ServiceTableBase + uIndex * sizeof(ULONG));

*puOldAddr = *(PULONG)uAddr;

	//DisableWP();
	*(PULONG)uAddr=uNewAddr;
	//EnableWP();
	return TRUE;
}

BOOLEAN unHookSSDT(ULONG uIndex, PULONG uOldAddr)
{
	if (uOldAddr == 0)
	{
		return FALSE;
	}

	ULONG uAddr = ((ULONG)(*KeServiceDescriptorTable).ServiceTableBase + uIndex * sizeof(ULONG));

	//DisableWP();
	*(PULONG)uAddr = uOldAddr;
	//EnableWP();

	return TRUE;

}



void DisableWP()
{
	_asm
	{
		cli//不要切换到其他CPU
			push eax
			mov eax,cr0
			and eax,0xfffeffff
			mov cr0,eax
			pop eax


	}
}

void EnableWP()
{
	_asm
	{
		push eax
			mov eax,cr0
			or eax,0x10000
			mov cr0,eax
			pop eax
			sti
	}
}


BOOLEAN HookSSDTByMdl(ULONG uIndex, ULONG uNewAddr, PULONG puOldAddr)

{
	if (uNewAddr == 0 || puOldAddr == NULL)
	{
		return FALSE;
	}

	PMDL pSSDTMdl= MmCreateMdl(NULL, (*KeServiceDescriptorTable).ServiceTableBase, sizeof(ULONG)* (*KeServiceDescriptorTable).NumberOfServices);
if (pSSDTMdl == NULL)
	{
		return FALSE;

	}
	MmBuildMdlForNonPagedPool(pSSDTMdl);

	pSSDTMdl->MdlFlags |= MDL_MAPPED_TO_SYSTEM_VA;

	PVOID pServiceTableBase = MmMapLockedPages(pSSDTMdl, KernelMode);


	if (pServiceTableBase == NULL)
	{
		return FALSE;
	}

	ULONG uAddr = ((ULONG)(*KeServiceDescriptorTable).ServiceTableBase + uIndex);

	*puOldAddr = *(PULONG)uAddr;
	
	*(PULONG)uAddr = uNewAddr;

	IoFreeMdl(pSSDTMdl);
	return TRUE;
}

BOOLEAN UnHookSSDTByMdl(ULONG uIndex, ULONG uOldAddr)

{
	if ( uOldAddr == NULL)
	{
		return FALSE;
	}

	PMDL pSSDTMdl = MmCreateMdl(NULL, (*KeServiceDescriptorTable).ServiceTableBase, sizeof(ULONG)* (*KeServiceDescriptorTable).NumberOfServices);
	if (pSSDTMdl == NULL)
	{
		return FALSE;

	}
	MmBuildMdlForNonPagedPool(pSSDTMdl);

	pSSDTMdl->MdlFlags |= MDL_MAPPED_TO_SYSTEM_VA;

	PVOID pServiceTableBase = MmMapLockedPages(pSSDTMdl, KernelMode);


	if (pServiceTableBase == NULL)
	{
		return FALSE;
	}

	ULONG uAddr = ((ULONG)(*KeServiceDescriptorTable).ServiceTableBase + uIndex);


	*(PULONG)uAddr = uOldAddr;

	IoFreeMdl(pSSDTMdl);
	return TRUE;
}

//SSDTHOOK.h
#pragma once

#ifdef  __cplusplus
extern "C" {
#endif
#include <ntddk.h>
#include <string.h>
#ifdef  __cplusplus
};// extern "C"
#endif


typedef struct _SDT_ENTRY
{
	PVOID *ServiceTableBase;
	PULONG ServiceCounterTableBase; //Used only in checked build
	ULONG NumberOfServices;
	PUCHAR ParamTableBase;
} SDT_ENTRY, *PSDT_ENTRY;

EXTERN_C SDT_ENTRY *KeServiceDescriptorTable;

ULONG GetSDDTAddr(ULONG uIndex);
//BOOLEAN HookSSDT(ULONG uIndex, ULONG uNewAddr, PULONG puOldAddr);
//BOOLEAN unHookSSDT(ULONG uIndex, PULONG uOldAddr);

//void DisableWP();
//void EnableWP();
BOOLEAN HookSSDTByMdl(ULONG uIndex, ULONG uNewAddr, PULONG puOldAddr);
BOOLEAN UnHookSSDTByMdl(ULONG uIndex, ULONG uOldAddr);

//mini_ddk.h
#include <ntddk.h>


void UnloadDriver(PDRIVER_OBJECT pDriver);
NTSTATUS rlNtCreateFile(
	_Out_     PHANDLE FileHandle,
	_In_      ACCESS_MASK DesiredAccess,
	_In_      POBJECT_ATTRIBUTES ObjectAttributes,
	_Out_     PIO_STATUS_BLOCK IoStatusBlock,
	_In_opt_  PLARGE_INTEGER AllocationSize,
	_In_      ULONG FileAttributes,
	_In_      ULONG ShareAccess,
	_In_      ULONG CreateDisposition,
	_In_      ULONG CreateOptions,
	_In_      PVOID EaBuffer,
	_In_      ULONG EaLength
	);
typedef NTSTATUS (*PFNNTCREATEFILE)(
	_Out_     PHANDLE FileHandle,
	_In_      ACCESS_MASK DesiredAccess,
	_In_      POBJECT_ATTRIBUTES ObjectAttributes,
	_Out_     PIO_STATUS_BLOCK IoStatusBlock,
	_In_opt_  PLARGE_INTEGER AllocationSize,
	_In_      ULONG FileAttributes,
	_In_      ULONG ShareAccess,
	_In_      ULONG CreateDisposition,
	_In_      ULONG CreateOptions,
	_In_      PVOID EaBuffer,
	_In_      ULONG EaLength
	);



深度学习是机器学习的一个子领域,它基于人工神经网络的研究,特别是利用多层次的神经网络来进行学习和模式识别。深度学习模型能够学习数据的高层次特征,这些特征对于图像和语音识别、自然语言处理、医学图像分析等应用至关重要。以下是深度学习的一些关键概念和组成部分: 1. **神经网络(Neural Networks)**:深度学习的基础是人工神经网络,它是由多个层组成的网络结构,包括输入层、隐藏层和输出层。每个层由多个神经元组成,神经元之间通过权重连接。 2. **前馈神经网络(Feedforward Neural Networks)**:这是最常见的神经网络类型,信息从输入层流向隐藏层,最终到达输出层。 3. **卷积神经网络(Convolutional Neural Networks, CNNs)**:这种网络特别适合处理具有网格结构的数据,如图像。它们使用卷积层来提取图像的特征。 4. **循环神经网络(Recurrent Neural Networks, RNNs)**:这种网络能够处理序列数据,如时间序列或自然语言,因为它们具有记忆功能,能够捕捉数据中的时间依赖性。 5. **长短期记忆网络(Long Short-Term Memory, LSTM)**:LSTM 是一种特殊的 RNN,它能够学习长期依赖关系,非常适合复杂的序列预测任务。 6. **生成对抗网络(Generative Adversarial Networks, GANs)**:由两个网络组成,一个生成器和一个判别器,它们相互竞争,生成器生成数据,判别器评估数据的真实性。 7. **深度学习框架**:如 TensorFlow、Keras、PyTorch 等,这些框架提供了构建、训练和部署深度学习模型的工具和库。 8. **激活函数(Activation Functions)**:如 ReLU、Sigmoid、Tanh 等,它们在神经网络中用于添加非线性,使得网络能够学习复杂的函数。 9. **损失函数(Loss Functions)**:用于评估模型的预测与真实值之间的差异,常见的损失函数包括均方误差(MSE)、交叉熵(Cross-Entropy)等。 10. **优化算法(Optimization Algorithms)**:如梯度下降(Gradient Descent)、随机梯度下降(SGD)、Adam 等,用于更新网络权重,以最小化损失函数。 11. **正则化(Regularization)**:技术如 Dropout、L1/L2 正则化等,用于防止模型过拟合。 12. **迁移学习(Transfer Learning)**:利用在一个任务上训练好的模型来提高另一个相关任务的性能。 深度学习在许多领域都取得了显著的成就,但它也面临着一些挑战,如对大量数据的依赖、模型的解释性差、计算资源消耗大等。研究人员正在不断探索新的方法来解决这些问题。
【4层】3100平米综合办公楼毕业设计(含计算书、建筑结构图) 、1资源项目源码均已通过严格测试验证,保证能够正常运行; 2、项目问题、技术讨论,可以给博主私信或留言,博主看到后会第一时间与您进行沟通; 3、本项目比较适合计算机领域相关的毕业设计课题、课程作业等使用,尤其对于人工智能、计算机科学与技术等相关专业,更为适合; 4、下载使用后,可先查看README.md或论文文件(如有),本项目仅用作交流学习参考,请切勿用于商业用途。 5、资源来自互联网采集,如有侵权,私聊博主删除。 6、可私信博主看论文后选择购买源代码。 1、资源项目源码均已通过严格测试验证,保证能够正常运行; 2、项目问题、技术讨论,可以给博主私信或留言,博主看到后会第一时间与您进行沟通; 3、本项目比较适合计算机领域相关的毕业设计课题、课程作业等使用,尤其对于人工智能、计算机科学与技术等相关专业,更为适合; 4、下载使用后,可先查看README.md或论文文件(如有),本项目仅用作交流学习参考,请切勿用于商业用途。 5、资源来自互联网采集,如有侵权,私聊博主删除。 6、可私信博主看论文后选择购买源代码。 、1资源项目源码均已通过严格测试验证,保证能够正常运行; 2、项目问题、技术讨论,可以给博主私信或留言,博主看到后会第一时间与您进行沟通; 3、本项目比较适合计算机领域相关的毕业设计课题、课程作业等使用,尤其对于人工智能、计算机科学与技术等相关专业,更为适合; 4、下载使用后,可先查看README.md或论文文件(如有),本项目仅用作交流学习参考,请切勿用于商业用途。 5、资源来自互联网采集,如有侵权,私聊博主删除。 6、可私信博主看论文后选择购买源代码。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值