5.ring0-SSDT-SSTDSHADOW原理分析、遍历随手代码

最新推荐文章于 2023-02-26 22:38:24 发布

花熊

最新推荐文章于 2023-02-26 22:38:24 发布

阅读量3.3k

点赞数 2

分类专栏：安全 (ring0) 文章标签： mfc api

本文链接：https://blog.csdn.net/hgy413/article/details/7786612

版权

安全 (ring0) 专栏收录该内容

6 篇文章 2 订阅

订阅专栏

SSDT 的全称是 System Services Descriptor Table，系统服务描述符表
这个表就是一个把 Ring3 的 Win32 API 和 Ring0 的内核 API 联系起来。Ring3下调用的所有函数最终都会先进入到ntdll里面的

typedef struct _KSERVICE_TABLE_DESCRIPTOR
{
	PULONG_PTR ServiceTableBase;<span style="white-space: pre;">		//SSTD基地址
	PULONG Count;				//包含着 SSDT 中每个服务被调用次数的计数器。这个计数器一般由sysenter 更新
	ULONG TableSize;			//由 ServiceTableBase 描述的服务的数目
	PUCHAR ArgumentTable;		//包含每个系统服务参数字节数表的基地址-系统服务参数表
} KSERVICE_TABLE_DESCRIPTOR, *PKSERVICE_TABLE_DESCRIPTOR;</span>

SSDT：KeServiceDescriptorTable
ShadowSSDT：KeServiceDescriptorTableShadow

extern KSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable[NUMBER_SERVICE_TABLES];
extern KSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTableShadow[NUMBER_SERVICE_TABLES];

KeServiceDescriptorTable SSDT 主要是处理来自 Ring3 层的Kernel32.dll 中的系统调用,比如函数 OpenProcess ReadFile 等函数。从kernel32.dll—>ntdll.dll—>系统中断进入内核 ntoskrml.exe
KeServiceDescriptorTableShadow 则主要处理来自 User32.dll 和 GDI32.dll 中的系统调用,比如常见的PostMessage，SendMessage，FindWindow。Win32k.sys
如何准确的判断系统用的是ntoskrnl.exe还是ntkrnlpa.exe文件呢:NtQuerySystemInformation,class 11 第一个模块就是，看名字就可以了
更简便的方式，直接:

<pre style="widows: 1;">kd> lm vm nt
start	end		module name
804d8000 806e5000   nt		 (pdb symbols)		  c:\mysymbol\winxp\ntkrpamp.pdb\7D6290E03E32455BB0E035E38816124F1\ntkrpamp.pdb
	Loaded symbol image file: ntkrpamp.exe
	Image path: ntkrpamp.exe
	Image name: ntkrpamp.exe

ntkrpamp.exe只是内部名称，可以通过ntoskrnl.exe、ntkrnlpa.exe的属性–版本–内部名称看到！
直接用IDA查看ntkrpamp.exe
在Export中搜索keservic即可跳到：

双击：

发现这货就是一个全局变量！（更确切的说是变量数组，这个从WRK也可以看出）既然KeServiceDescriptorTable是一个导出的全局变量（数组），那么我们来看wrk，大家都知道在编写代码的时候，要导出一个函数，通常使用def文件。所以ntoskrnl在编写的时候，同样也用到了def来导出，我们翻看wrk

extern KSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable[NUMBER_SERVICE_TABLES];
extern KSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTableShadow[NUMBER_SERVICE_TABLES];

#define NUMBER_SERVICE_TABLES 2

SSTD只用了一张表（KeServiceDescriptorTable[0])，SSTDSHADOW有两张表，第一张和KeServiceDescriptorTable[0]相同，即SSDT,第二张才是SSTDSHADOW

在应用层 ntdll.dll 中的 API 在这个系统服务描述表(SSDT)中都存在一个与之相对应的服务号,要说明这个，可以再用IDA加载ring3的NTDLL.dll,随便选个函数，如NTCreateFile:
ntkrpamp.exe+xuetr:

0xB7=183为服务号
ntdll.dll:

0xB7=183为服务号,其余的一样，比如zwcreatefile为0×25
当我们的应用程序调用 ntdll.dll 中的 API 时，最终会调用内核中与之相对应的系统服务，由于有了 SSDT，所以我们只需要告诉内核需要调用的服务所在 SSDT 中的索引(即服务员)就 OK 了，然后内核根据这个索引值就可以在 SSDT 中找到相对应的服务了，然后再由内核调用服务完成应用程序 API 的调用请求即可

ring3下zw和nt是同一套函数的两个别名
ring0下zw只是做一个过渡分发，而nt才是真正的函数主体，可以看下zwcreatefile的实现：

kd> u nt!zwcreatefile
nt!ZwCreateFile:
80501010 b825000000	  mov	 eax,25h
80501015 8d542404		lea	 edx,[esp+4]
80501019 9c			  pushfd
8050101a 6a08			push	8
8050101c e830140400	  call	nt!KiSystemService (80542451)
80501021 c22c00		  ret	 2Ch

它只是把系统服务员0×25放到eax，然后开始调用系统分发函数走到ntcreatfile中.调用堆栈如下：

kd> kb
ChildEBP RetAddr  Args to Child
bacfbbe0 8054261c bacfbcf0 00100180 bacfbcd4 nt!NtCreateFile
bacfbbe0 80501021 bacfbcf0 00100180 bacfbcd4 nt!KiFastCallEntry+0xfc
bacfbc84 8061f69d bacfbcf0 00100180 bacfbcd4 nt!ZwCreateFile+0x11

最后用windbg来查看下SSDT:

kd> x nt!*servicedes*
80553f60 nt!KeServiceDescriptorTableShadow = <no type information>
80553fa0 nt!KeServiceDescriptorTable = <no type information>
kd> dd 80553f60 L2
80553f60  80502b8c 00000000
kd> dds 80502b8c L2
80502b8c  8059a948 nt!NtAcceptConnectPort
80502b90  805e7db6 nt!NtAccessCheck

要查看SSTDSHADOW需要先切换到GUI进程空间内：

kd> dd nt!KeServiceDescriptorTableShadow L8
80553f60  80502b8c 00000000 0000011c 80503000
80553f70  bf999b80 00000000 0000029b bf99a890
kd> dds bf999b80 L1// 未切换时
bf999b80  ????????
kd> !process 0 0 calc.exe
PROCESS 861a9020  SessionId: 0  Cid: 068c    Peb: 7ffdb000  ParentCid: 05c8
    DirBase: 0c9801a0  ObjectTable: e21cdd28  HandleCount:  46.
    Image: calc.exe

kd> .process 861a9020  
Implicit process is now 861a9020
WARNING: .cache forcedecodeuser is not enabled
kd> dds bf999b80 L3//win32k
bf999b80  bf935f7e win32k!NtGdiAbortDoc
bf999b84  bf947b29 win32k!NtGdiAbortPath
bf999b88  bf88ca52 win32k!NtGdiAddFontResourceW

最后遍历SSDT测试代码：

#include <ntddk.h>
 
typedef struct _KSERVICE_TABLE_DESCRIPTOR
{
	PULONG_PTR ServiceTableBase;//SSTD基地址
	PULONG Count;				//包含着 SSDT 中每个服务被调用次数的计数器。这个计数器一般由sysenter 更新
	ULONG TableSize;			//由 ServiceTableBase 描述的服务的数目
	PUCHAR ArgumentTable;		//包含每个系统服务参数字节数表的基地址-系统服务参数表
} KSERVICE_TABLE_DESCRIPTOR, *PKSERVICE_TABLE_DESCRIPTOR;
 
//ssdt表已经导出了，这里例行公事下
extern PKSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable;
 
//卸载函数
VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
{
	DbgPrint("卸载完成!\n");
}
 
//入口函数
NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,PUNICODE_STRING RegistryPath)
{
	int i = 0;
 
	DriverObject->DriverUnload = DriverUnload;
 
	for (i=0;i<KeServiceDescriptorTable->TableSize;i++)
	{
		DbgPrint("Number:%d Address:0x%08X\r\n\r\n",i,KeServiceDescriptorTable->ServiceTableBase[i]);
	}
 
	return STATUS_SUCCESS;
}

对于shadowsstd：
1：shadowSSDT是在KeServiceDescriptorTableShadow的第二个表，也就是查看win32K系统服务，第一个表就是ssdt
2：如果我们要查看win32K系统服务，必须切换到GUI线程的上下文,不然win32k无法被加载

遍历SSDTSHADOW:
1.查找到KeServiceDescriptorShadowTable的地址，因为不是导出的，所以只能特征码查找（wrk可以确认哪个函数有它）
2.KeServiceDescriptorShadowTable[0]内容和KeServiceDescriptorTable相同，这可以做为比对标志
3.查找一个GUI进程，并附加上去：如explorer.exe
示例代码：

#include <ntifs.h>
 
typedef struct _KSERVICE_TABLE_DESCRIPTOR
{
	PULONG_PTR ServiceTableBase;//SSTD基地址
	PULONG Count;				//包含着 SSDT 中每个服务被调用次数的计数器。这个计数器一般由sysenter 更新
	ULONG TableSize;			//由 ServiceTableBase 描述的服务的数目
	PUCHAR ArgumentTable;		//包含每个系统服务参数字节数表的基地址-系统服务参数表
} KSERVICE_TABLE_DESCRIPTOR, *PKSERVICE_TABLE_DESCRIPTOR;
//ssdt表已经导出了，这里例行公事下
extern PKSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable;
PKSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorShadowTable;
 
PVOID GetShadowTableAddress()
{
	UNICODE_STRING functionName;
	ULONG i = 0;
	ULONG DwordAtByte = 0;
	PUCHAR p = NULL;
	RtlInitUnicodeString(&functionName, L"KeAddSystemServiceTable");
	p = MmGetSystemRoutineAddress(&functionName);
	if (NULL == p)
	{
		return NULL;
	}
 
	// 开始循环找,找一页，指针递增1
	for (i=0;i<0x1024;i++,p++)
	{
		try
		{
			DwordAtByte = *(PULONG)p;
		}
		__except (EXCEPTION_EXECUTE_HANDLER)
		{
			return NULL;
		}
 
		if (MmIsAddressValid((PVOID)DwordAtByte))
		{
			if (0 == memcmp((PVOID)DwordAtByte, KeServiceDescriptorTable, 16))//对比前16字节 相同则找到
			{
				if ((PVOID)DwordAtByte == KeServiceDescriptorTable)//排除sstd
				{
					continue;
				}
 
				return DwordAtByte;
			}
		}
 
	}
 
	return NULL;
}
 
UCHAR *PsGetProcessImageFileName(__in PEPROCESS eprocess);//导出下使用.
NTSTATUS LookupProcessByName(IN PCHAR pcProcessName,
							 OUT PEPROCESS *pEprocess)
{
	PEPROCESS pCurEprocess = NULL;
	PEPROCESS pNextEprocess = NULL;//做为一个标记，表示循环了一圈
	PLIST_ENTRY	pListActiveProcess = NULL;
	ULONG offset = 0;//ActiveProcessLinks的偏移值
	ULONG uLoopNum = 0;//查找的循环次数
	RTL_OSVERSIONINFOEXW osver = {sizeof(RTL_OSVERSIONINFOEXW)};
	char *lpszAttackProName = NULL;
 
 
	if (!ARGUMENT_PRESENT(pcProcessName)
		||!ARGUMENT_PRESENT(pEprocess))
	{
		KdPrint(("[LookupProcessByName]--invalid para\n"));
		return STATUS_INVALID_PARAMETER;
	}
 
	if (KeGetCurrentIrql()>PASSIVE_LEVEL)
	{
		KdPrint(("[LookupProcessByName]--invalid irql\n"));
		return STATUS_UNSUCCESSFUL;
	}
 
	if (STATUS_SUCCESS != RtlGetVersion((PRTL_OSVERSIONINFOW)&osver))
	{
		KdPrint(("[LookupProcessByName]--RtlGetVersion fail\n"));
		return STATUS_UNSUCCESSFUL;
	}
 
	// 仅对xp测试，自己扩展
	if (5 == osver.dwMajorVersion
		&&1 == osver.dwMinorVersion)
	{
		offset = 0x88;//可通过windbg查看eprocess中的偏移
	}
 
	if (0 == offset)
	{
		KdPrint(("[LookupProcessByName]--unknow os\n"));
		return STATUS_UNSUCCESSFUL;
	}
 
	// 遍历链表查询
	pCurEprocess = PsGetCurrentProcess();
	pNextEprocess = pCurEprocess;
 
	__try
	{
		while (TRUE)
		{
			// TODO.做想做的事吧...
			lpszAttackProName = (char *)PsGetProcessImageFileName(pCurEprocess);
			if (lpszAttackProName
				&& strlen(lpszAttackProName) == strlen(pcProcessName))
			{
				if (0 == _stricmp(lpszAttackProName, pcProcessName))
				{
					KdPrint(("[LookupProcessByName]--find\n"));
					*pEprocess = pCurEprocess;
					return STATUS_SUCCESS;
				}
			}
 
 
			//出口
			if (uLoopNum>=1
				&&pNextEprocess == pCurEprocess)
			{
				KdPrint(("[LookupProcessByName]--loop end\n"));
				*pEprocess = 0x00000000;
				return STATUS_NOT_FOUND;
			}
 
			pListActiveProcess = (PLIST_ENTRY)((ULONG)pCurEprocess+offset);//注意大括号，不用大括号会出错的
			(ULONG)pCurEprocess = (ULONG)pListActiveProcess->Flink;//pCurEprocess临时表示了前一个Active process
			(ULONG)pCurEprocess = (ULONG)pCurEprocess - offset;//对应的Eprocess基址
			KdPrint(("[LookupProcessByName]--pCurEprocess：%08x\n", pCurEprocess));
			uLoopNum ++;//循环次数+1
 
		}
 
	}
	__except(EXCEPTION_EXECUTE_HANDLER)
	{
		KdPrint(("[LookupProcessByName]--execption:%08x--end\n", GetExceptionCode()));
		*pEprocess = 0x00000000;
		return STATUS_NOT_FOUND;
	}
}
 
//卸载函数
VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
{
	DbgPrint("卸载完成!\n");
}
 
//入口函数
NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,PUNICODE_STRING RegistryPath)
{
	int i = 0;
	PEPROCESS eprocess_explorer;
	DriverObject->DriverUnload = DriverUnload;
	KeServiceDescriptorShadowTable = GetShadowTableAddress();
	if (KeServiceDescriptorShadowTable)
	{
 
		// 我们得到一个gui进程的对象，因为我们切换进程的时候需要用到
		if (STATUS_SUCCESS == LookupProcessByName("explorer.exe",&eprocess_explorer) )
		{
			KeAttachProcess(eprocess_explorer);//附加到目标进程
 
			//这里为什么要KeServiceDescriptorShadowTable[1]，正如我们所说的，第二个表才是ShadowSSDT
			for (i = 0;i<KeServiceDescriptorShadowTable[1].TableSize;i++)
			{
				KdPrint(("Number:%d  Address:0x%08X\r\n",i,KeServiceDescriptorShadowTable[1].ServiceTableBase[i]));
			}
 
			KeDetachProcess();//解除附加
		}
	}
 
 
	return STATUS_SUCCESS;
}

花熊

关注

2
点赞
踩
3

收藏

觉得还不错? 一键收藏
0
评论
5.ring0-SSDT-SSTDSHADOW原理分析、遍历随手代码

SSDT 的全称是 System Services Descriptor Table，系统服务描述符表这个表就是一个把 Ring3 的 Win32 API 和 Ring0 的内核 API 联系起来。Ring3下调用的所有函数最终都会先进入到ntdll里面的typedef struct _KSERVICE_TABLE_DESCRIPTOR{ PULONG_PTR ServiceTab
复制链接

扫一扫

专栏目录