SSDTHook实现解析(x86)

在说到SSDTHook实现之前，我们首先来了解一下Win32API的调用过程，我们以ReadFile()为例，来看看从Ring3层到Ring0层的调用过程：在一个Ring3进程Test.exe中调用ReadFile()函数，此时我们调用的是kernel32.dll中的导出函数，接下来ReadFile()会调用到位于ntdll.dll中的NtReadFile()或者ZwReadFile()，在ntdll.dll中的这两个函数实现是一样的，通过Windbg调试器查看如下：

通过调用ntdll.dll中的NtReadFile()函数会将系统调用号放入EAX寄存器中，以便切入内核时在SSDT表中找到对应的内核函数；如果内核采用自陷指令int 0x2e时，将堆栈上的参数块起始地址放入EDX寄存器中，以便于在内核层拷贝用户层所传递参数；接下来会通过int 0x2E自陷指令，切入到内核中去，此处的0x2E是系统中断向量表中的中断向量，也是IDT表的数组下标，在IDT表的对应偏移处找到中断程序入口地址，执行中断处理函数KiSystemService()。如果采用快速调用指令sysenter时，将堆栈指针保存在EDX寄存器中࿰