遍历WIN7 64位SSDT表

最新推荐文章于 2023-05-06 10:57:34 发布

qq_857305819

最新推荐文章于 2023-05-06 10:57:34 发布

阅读量1k

点赞数 1

分类专栏：内核安全编程

本文链接：https://blog.csdn.net/qq_41490873/article/details/108237596

版权

内核安全编程专栏收录该内容

32 篇文章 19 订阅

订阅专栏

SSDT结构

在windbg通过命令 dq KeServiceDescriptorTable可以看到系统描述符表的内容
在这里插入图片描述
从上图中可以看到，KSYSTEM_SERVICE_TABLE里面的项是8字节为单位的。第一项服务表的基址，第三项是服务表函数的个数，第四项是函数参数的个数

接下来查看函数表里面的值
在这里插入图片描述
函数表里面的值（取4字节）右移4位然后加上服务表的基址就是函数的地址（8字节）。
需要注意的是，函数偏移以F开头的地址，以fff72d00为例，高四字节为0xffffffff，低四字节去掉后四位，然后最高位要补f。
在这里插入图片描述

代码遍历SSDT

在64位系统里面，KeServiceDescriptorTable并未导出。
在这里插入图片描述
可以通过函数KiSystemCall64来找到服务表的地址，而KiSystemCall64也是未导出的。
找到KiSystemCall64函数的方法是读取kd> rdmsr c0000082 msr寄存器的值。这样就可以找到服务表地址了

typedef struct _KSYSTEM_SERVICE_TABLE
{
	PLONG  ServiceTableBase;                                       // 服务函数地址表基址   
	PLONG  ServiceCounterTableBase;
	ULONG   NumberOfService;                                        // 服务函数的个数  
	PLONG   ParamTableBase;                                        // 服务函数参数表基址   
} KSYSTEM_SERVICE_TABLE, *PKSYSTEM_SERVICE_TABLE;

VOID Enumssdt64()
{
	ULONG i = 0;
	PKSYSTEM_SERVICE_TABLE pServiceTable = NULL;
	PCHAR Base;
	PCHAR FuncAddr;
	LONG offset;
	LONG funoffset;
	KdBreakPoint();
	//读取KiSystemCall64的地址
	Base = (PCHAR)__readmsr(0xc0000082);

	//偏移313是dff9地址，-4就是服务表偏移
	Base += 313;
	//获得服务表偏移
	offset = *(PLONG)(Base - 4);
	//服务表的地址=base+offset  
	pServiceTable = (PKSYSTEM_SERVICE_TABLE)(Base + offset);
	for (i = 0; i < pServiceTable->NumberOfService;i++)
	{
		//取出服务表中函数的偏移
		funoffset = pServiceTable->ServiceTableBase[i];
		//偏移右移4位 
		funoffset >>= 4;
		//函数地址
		FuncAddr = (PCHAR)((PCHAR)(pServiceTable->ServiceTableBase) + funoffset);
		KdPrint(("%d\t0x%p\n", i, FuncAddr));
	}
}