遍历WIN7 64位SSDT表

SSDT结构

在windbg通过命令 dq KeServiceDescriptorTable可以看到系统描述符表的内容

从上图中可以看到，KSYSTEM_SERVICE_TABLE里面的项是8字节为单位的。第一项服务表的基址，第三项是服务表函数的个数，第四项是函数参数的个数

接下来查看函数表里面的值

函数表里面的值（取4字节）右移4位 然后加上服务表的基址就是函数的地址（8字节）。
需要注意的是，函数偏移以F开头的地址，以fff72d00为例，高四字节为0xffffffff，低四字节去掉后四位 ，然后最高位要补f。

代码遍历SSDT

在64位系统里面，KeServiceDescriptorTable并未导出。

可以通过函数KiSystemCall64来找到服务表的地址，而KiSystemCall64也是未导出的。
找到KiSystemCall64函数的方法是读取kd> rdmsr c0000082 msr寄存器的值 。这样就可以找到服务表地址了

typedef struct _KSYSTEM_SERVICE_TABLE
{
	PLONG  ServiceTableBase;                                       // 服务函数地址表基址   
	PLONG  ServiceCounterTableBase;
	ULONG   NumberOfService;                                        // 服务函数的个数  
	PLONG   ParamTableBase;                                        // 服务函数参数表基址   
} KSYSTEM_SERVICE_TABLE, *PKSYSTEM_SERVICE_TABLE;

VOID Enumssdt64()
{
	ULONG i = 0;
	PKSYSTEM_SERVICE_TABLE pServiceTable = NULL;
	PCHAR Base;
	PCHAR FuncAddr;
	LONG offset;
	LONG funoffset;
	KdBreakPoint();
	//读取KiSystemCall64的地址
	Base = (PCHAR)__readmsr(0xc0000082);

	//偏移313是dff9地址，-4就是服务表偏移
	Base += 313;
	//获得服务表偏移
	offset = *(PLONG)(Base - 4);
	//服务表的地址=base+offset  
	pServiceTable = (PKSYSTEM_SERVICE_TABLE)(Base + offset);
	for (i = 0; i < pServiceTable->NumberOfService;i++)
	{
		//取出服务表中函数的偏移
		funoffset = pServiceTable->ServiceTableBase[i];
		//偏移右移4位 
		funoffset >>= 4;
		//函数地址
		FuncAddr = (PCHAR)((PCHAR)(pServiceTable->ServiceTableBase) + funoffset);
		KdPrint(("%d\t0x%p\n", i, FuncAddr));
	}
}

需要注意的是，服务表里面存放的是函数的偏移，大小是4字节。真正的函数地址=服务表基址+偏移