移除时钟KTIMER和DPC

最新推荐文章于 2020-11-18 07:39:29 发布

ming_taizi

最新推荐文章于 2020-11-18 07:39:29 发布

阅读量1.2k

点赞数 1

分类专栏：驱动文章标签： C 驱动 win7

本文链接：https://blog.csdn.net/ming_taizi/article/details/70561064

版权

本文介绍了如何在Windows系统中枚举并移除KTIMER及其关联的DPC。通过KPRCB和KPCR结构，找到系统中的KTIMER链表，并通过特定条件判断找到目标KTIMER，最后使用KeCancelTimer()函数来移除定时器。文中详细阐述了查找和移除过程，并提供了相关结构体和寄存器的解读。

摘要由CSDN通过智能技术生成

typedef struct _KTIMER {
    DISPATCHER_HEADER Header;
    ULARGE_INTEGER DueTime;
    LIST_ENTRY TimerListEntry;
    struct _KDPC *Dpc;

#if !defined(KENCODED_TIMER_PROCESSOR)

    ULONG Processor;

#endif

    ULONG Period;
} KTIMER, *PKTIMER, *PRKTIMER;

一、枚举所有KTIMER

通过这个结构体我们可以看出来DPC是KTIMER的一个成员，也就是说只要找到我们想要移除的KTIMER之后，移除KTIMER就可以移除DPC了，那么问题就来了，我们怎么找到KTIMER呢，而且系统里面有很多的KTIMER结构，就算找到了，怎么确定找到的KTIMER就是我们要移除的KTIMER呢。

所以我们可以理一下移除DPC的步骤：

1.先找到所有的KTIMER。

2.从所有的KTIMER中一个一个的找我们所要想要移除的KTIMER。（当然，如果一击即中，直接把我们所要移除的KTIMER从系统中拽出来，不用暴力枚举所有的KTIMER，那就最好了，不过好像没有办法这么做，网上也没有类似的方法，基本上都是暴力枚举所有KTIMER）

3.移除KTIMER。

说起来容易，那怎么寻找呢，原来，系统中有一个链表，这个链表将所有的KTIMER串起来，链表头存在于一个数组中，这个数组叫TimerEntries，256个数组成员，每一个成员都是一个链表头。这个数组存在于TimerTable数组中，TimerEntries是 TimerTable的第二数组成员，TimerTable这个数组存在结构体KPRCB的0x2200(x64)或0x1960(x86)处，而KPRCB结构体指针又存在于结构体KPCR的0x20处。KPCR结构体在64位中是在寄存器msr[c0000101]的位置，在32位中是在fs寄存器中。