SystemServiceTable

于 2023-05-06 10:57:34 发布
阅读量199 收藏 2
点赞数
分类专栏： 系统调用 文章标签： windows
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_50242229/article/details/130512426
版权
文章详细阐述了在Windows操作系统中，从用户模式进入内核模式后，如何通过系统服务描述符表(SSDT)找到并调用内核函数的过程。具体包括根据系统服务号在_KTHREAD结构体中的ServiceTable找到对应的函数地址，以及如何从堆栈传递参数。同时提到了SSDT的组成和如何通过WinDbg工具进行分析。此外，还讨论了驱动程序访问SSDT的方式以及存在的SSDTShadow表。
摘要由CSDN通过智能技术生成

进0环后，3环的各种寄存器的值都会保留到_Trap_Frame结构体中，接下来我将会讲解：如何根据系统服务号（eax中存储）找到要执行的内核函数？调用时参数是存储到3环的堆栈，如何传递给内核函数？

SystemServiceTable，即系统服务表，它不是SSDT
表由4部分组成，ServiceTable指向的是函数地址数组，每个成员四个字节；Count表示调用次数，没啥意义；ServiceLimit表示这张表有几个函数；ArgumentTable指向对应函数有几个字节参数，每个成员一个字节

从图中可以看出，Windows提供了两张表：上面的表是用来处理一般内核函数的，下面这张表是用来处理与GUI相关的内核函数
在这里插入图片描述
我们根据服务表的索引12这个位可以判断是哪张服务表，既然找到了哪张服务表，后12位就是在服务表的索引。通过这个索引，找到函数地址，有几个参数，我们就可以调用它了。这个系统服务表的地址 : _KTHREAD + 0xe0

   kd> dt _KTHREAD
nt!_KTHREAD
   +0x000 Header           : _DISPATCHER_HEADER
   +0x010 MutantListHead   : _LIST_ENTRY
   +0x018 InitialStack     : Ptr32 Void
   +0x01c StackLimit       : Ptr32 Void
   +0x020 Teb              : Ptr32 Void
   +0x024 TlsArray         : Ptr32 Void
   +0x028 KernelStack      : Ptr32 Void
   +0x02c DebugActive      : UChar
   +0x02d State            : UChar
   +0x02e Alerted          : [2] UChar
   +0x030 Iopl             : UChar
   +0x031 NpxState         : UChar
   +0x032 Saturation       : Char
   +0x033 Priority         : Char
   +0x034 ApcState         : _KAPC_STATE
   +0x04c ContextSwitches  : Uint4B
   +0x050 IdleSwapBlock    : UChar
   +0x051 Spare0           : [3] UChar
   +0x054 WaitStatus       : Int4B
   +0x058 WaitIrql         : UChar
   +0x059 WaitMode         : Char
   +0x05a WaitNext         : UChar
   +0x05b WaitReason       : UChar
   +0x05c WaitBlockList    : Ptr32 _KWAIT_BLOCK
   +0x060 WaitListEntry    : _LIST_ENTRY
   +0x060 SwapListEntry    : _SINGLE_LIST_ENTRY
   +0x068 WaitTime         : Uint4B
   +0x06c BasePriority     : Char
   +0x06d DecrementCount   : UChar
   +0x06e PriorityDecrement : Char
   +0x06f Quantum          : Char
   +0x070 WaitBlock        : [4] _KWAIT_BLOCK
   +0x0d0 LegoData         : Ptr32 Void
   +0x0d4 KernelApcDisable : Uint4B
   +0x0d8 UserAffinity     : Uint4B
   +0x0dc SystemAffinityActive : UChar
   +0x0dd PowerState       : UChar
   +0x0de NpxIrql          : UChar
   +0x0df InitialNode      : UChar
   +0x0e0 ServiceTable     : Ptr32 Void
   +0x0e4 Queue            : Ptr32 _KQUEUE
   +0x0e8 ApcQueueLock     : Uint4B
   +0x0f0 Timer            : _KTIMER
   +0x118 QueueListEntry   : _LIST_ENTRY
   +0x120 SoftAffinity     : Uint4B
   +0x124 Affinity         : Uint4B
   +0x128 Preempted        : UChar
   +0x129 ProcessReadyQueue : UChar
   +0x12a KernelStackResident : UChar
   +0x12b NextProcessor    : UChar
   +0x12c CallbackStack    : Ptr32 Void
   +0x130 Win32Thread      : Ptr32 Void
   +0x134 TrapFrame        : Ptr32 _KTRAP_FRAME
   +0x138 ApcStatePointer  : [2] Ptr32 _KAPC_STATE
   +0x140 PreviousMode     : Char
   +0x141 EnableStackSwap  : UChar
   +0x142 LargeStack       : UChar
   +0x143 ResourceIndex    : UChar
   +0x144 KernelTime       : Uint4B
   +0x148 UserTime         : Uint4B
   +0x14c SavedApcState    : _KAPC_STATE
   +0x164 Alertable        : UChar
   +0x165 ApcStateIndex    : UChar
   +0x166 ApcQueueable     : UChar
   +0x167 AutoAlignment    : UChar
   +0x168 StackBase        : Ptr32 Void
   +0x16c SuspendApc       : _KAPC
   +0x19c SuspendSemaphore : _KSEMAPHORE
   +0x1b0 ThreadListEntry  : _LIST_ENTRY
   +0x1b8 FreezeCount      : Char
   +0x1b9 SuspendCount     : Char
   +0x1ba IdealProcessor   : UChar
   +0x1bb DisableBoost     : UChar

有一个变量是导出的：dd KeServiceDescriptorTable ,可以通过其访问SSDT
SSDT的全称是System Services Descriptor Table，意为系统服务描述符表
SSDT有四个成员，每个成员都是一张系统服务表
第一个是函数地址表
第二个是调用次数
第三个是函数个数
第四个是一个字节的参数个数表
在这里插入图片描述

ReadProcessMemory的SSDT

kd> dd KeServiceDescriptorTable
8055b220  804e36a8 00000000 0000011c 80511088
8055b230  00000000 00000000 00000000 00000000
8055b240  00000000 00000000 00000000 00000000
8055b250  00000000 00000000 00000000 00000000
8055b260  00002730 bf80c0b6 00000000 00000000
8055b270  f7944a80 ba6bbb60 899a8670 f743c8e8
8055b280  00000000 00000000 47f32278 0000000b
8055b290  67c35b38 01d97eff 00000000 00000000

//找函数地址
kd> dd 804e36a8 + ba * 4
804e3990  8057f2ce 8058fd8c 8056747b 80588efe
804e39a0  80567fa9 8065c2a2 8064f79e 806500fa
804e39b0  8057dcda 8056c82e 8056c346 806242c6
804e39c0  8062d0d7 805de5f4 80577ce6 8062ced0
804e39d0  8059fb88 8053cbfa 8064fc91 8063091c
804e39e0  8058fcb2 8064fd92 8064fe7d 8064ffaa
804e39f0  805904de 8064a047 8064a047 8062ecdf

//找参数个数
kd> db 80511088 + ba
80511142  14 04 08 0c 14 08 08 0c-08 10 14 08 04 08 0c 04  ................
80511152  08 0c 0c 04 08 08 0c 0c-24 08 08 08 0c 04 08 04  ........$.......
80511162  10 08 04 04 04 14 14 10-10 10 10 10 10 08 14 18  ................
80511172  04 04 10 0c 08 14 0c 0c-08 08 1c 0c 04 18 14 04  ................

驱动程序访问SSDT

#include <ntddk.h>

// extern PKSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable;
extern ULONG KeServiceDescriptorTable;    //只是为了访问地址，就不写那个结构体了

NTSTATUS UnloadDriver(PDRIVER_OBJECT DriverObject)
{
    DbgPrint("卸载成功！！！");
}

NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath)
{

    DriverObject->DriverUnload = UnloadDriver;

    DbgPrint("SSDT 的地址：%X", KeServiceDescriptorTable);
    return STATUS_SUCCESS;
}

SSDTShadow

SSDTShadow和SSDT不一样的是它并没有从内核文件导出。不过我们还是可以从WinDbg找到它：dd KeServiceDescriptorTableShadow

它的结构和SSDT是一模一样的，只不过它多了一张表，就是少的那个与GUI相关的服务表。那么我们能不能直接用驱动访问这张表呢？答案是不行

柠檬的泪是酸的@
关注
专栏目录
4.API的调用过程（系统服务表）
My classmates
10-18 785
SystemServiceTable（系统服务表） typedef struct _SYSTEM_SERVICE_TABLE 　　{ 　　 　　 PVOID ServiceTableBase; //这个指向系统服务函数地址表 　 PULONG ServiceCounterTableBase;//系统这个服务表调用了几次 　　 ULONG NumberOfService; //服务函数的个数 ...
SSDT检测器。SSDT是系统服务描述表的意思(system service description table)
02-18
安全工具集。 请对系统比较了解的朋友下载使用。如果您对系统不是很了解的话，不要轻易尝试。不然，很可能导致系统蓝屏。而且此类工具一般都采用了特殊的驱动方式加载，为了提升权限，采用了各种病毒可能使用的方法，因此，很可能导致杀毒软件有反应。请不要见怪。蓝屏是最常见了
SERVICE_TABLE_ENTRY
小发猫
06-07 3601
SERVICE_TABLE_ENTRYThe SERVICE_TABLE_ENTRY structure is used by the StartServiceCtrlDispatcher function to specify the ServiceMain function for a service that can run in the calling process.typedef st
系统服务表
qq_41490873的博客
06-05 152
SSDT（System Services Descriptor Table）系统服务描述符表
linshixina的专栏
08-03 1096
SSDT（System Services Descriptor Table），系统服务描述符表。这个表就是一个把ring3的Win32 API和ring0的内核API联系起来。SSDT并不仅仅只包含一个庞大的地址索引表，它还包含着一些其它有用的信息，诸如地址索引的基地址、服务函数个数等。 目录 简介 　　通过修改此表的函数地址可以对常用windows函数及API进
系统调用003 系统服务表
鬼手的博客
12-22 736
文章目录前言SystemServiceTable 系统服务表系统服务表在哪判断调用的函数在哪个表API函数的调用过程 前言 我们现在已经知道API怎么从三环进入零环，从三环进零环需要带两个寄存器，分别是eax和edx。eax保存的是系统的服务号，edx保存的是三环的esp，通过esp可以找到三环的参数。 这次要解决的问题是如何通过eax找到零环的函数，零环的函数是怎么被调用的，并且零环的函数执行的...
易语言获取SSDT源地址源码.zip
最新发布
12-30
使用易语言，你需要调用这个API函数，传入适当的参数，比如SystemServiceTable信息类，来获取系统服务描述表。 2. **解析返回的数据**：NtQuerySystemInformation返回的数据是一个结构体，包含多个系统信息。你需要...
易语言获取SSDT源地址源码-易语言
06-13
3. **调用系统函数**：使用获取到的函数指针，调用`NtQuerySystemInformation`函数，传递适当的参数，如`SystemServiceTable`信息类，来获取SSDT的详细信息。 4. **解析数据**：`NtQuerySystemInformation`返回的...
Windows系统调用学习笔记（四）—— 系统服务表&SSDT
qq_41988448的博客
11-11 2994
Windows系统调用学习笔记（四）—— 系统服务表前言要点回顾系统服务表实验：分析 KiSystemService 与 KiFastCallEntry 共同代码 前言 一、学习自滴水编程达人中级班课程，官网：https://bcdaren.com 二、海东老师牛逼！ 要点回顾 API进入0环后调用的函数： 中断门 – KiSystemService 快速调用 – KiFastCallEnt...
SSDT笔记。（System Services Descriptor Table）
weixin_30784945的博客
08-10 160
本人只是业余爱好，勿喷，有兴趣的看。懂的也就没必要看了。 希望能结交更多的朋友，不论技术如何，在下都愿意一起分享学习。 肯定有错的地方，希望大家指出，下面只是概念性东西。希望能给和我一样菜的朋友看下。看书上或者资料介绍的很繁琐感觉，我这算大白话吧。因为业余也没想系统学习，所以朋友给我科普了下，在这里谢谢下他。 说了这么多废话看笔记吧。 r0的inline hook 其实理论上和 ...
找KiServiceTable
weixin_33739541的博客
12-16 184
为什么80%的码农都做不了架构师？>>> ...
#define SYSTEMSERVICE(_func) KeServiceDescriptorTable.ServiceTableBase[ *(PULONG)((PUCHAR)_func+1) 这...
weixin_33804990的博客
08-17 160
这个跟KeServiceDescriptorTable的结构有关 下面是KeServiceDescriptorTable的结构定义 KeServiceDescriptorTabletypedef struct _KSERVICE_TABLE_DESCRIPTOR { PULONG_PTR Base; PULONG Count; ULONG Limit; PUCHAR Number;...
[驱动开发] 手写 r0 hook（NtOpenProcess 为例）
LYSM
11-09 1535
inlineHook的原理： 为了方便好理解，一些变量名和函数名在这里使用中文命名，有些编译器不支持中文命名，在这里要注意（我的是VS2019） hook.h： #pragma once #include<ntifs.h> #include<ntddk.h> #pragma intrinsic(__readmsr) //SSDT的结构 typedef struct _SYSTEM_SERVICE_TABLE { PLONG ServiceTableBase; PVOI
Windows系统调用学习笔记（二）—— 3环进0环
qq_41988448的博客
10-30 2759
Windows系统调用学习笔记（二）—— 3环进0环前言要点回顾基本概念_KUSER_SHARED_DATA0x7FFE0300实验：判断CPU是否支持快速调用第一步：修改EAX=1第二步：将当前汇编指令修改为cpuid第三步：清空ECX与EDX第四步：执行cpuid，观察结果第五步：观察EDX的SEP位（第11位）3环进0环基本步骤中断门进0环分析 KiIntSystemCall分析 INT 0...
SSDT Hook技术详解与应用
flydragonhero的专栏
03-10 6618
SSDT Hook技术详解与应用SSDT Hook技术详解与应用 一SSDT简介 1什么是SSDT 2SSDT结构 3应用层调用 Win32 API 的完整执行流程 二SSDT Hook原理 1SSDT Hook原理简介 2进程隐藏与保护 3文件隐藏与保护 4端口隐藏一、SSDT简介1、什么是SSDT​ SSDT 的全称是 System Services Descriptor Table，系统服
SSDT(系统服务描述符表 system services descriptor table)
weixin_30832143的博客
03-02 1116
SSDT表介绍 ntdll.dll模块中的函数有些以nt或zw开头的函数为了完成相应的功能需要进入内核，调用内核中以nt开头的函数来完成相应的功能。ntdll.dll里的函数在进入内核层之前首先将系统服务号传入eax寄存器中，然后调用KiSystemService函数进入内核层。进入内核后会根据eax值索引ssdt表里的函数进行执行相应地址的函数。 SSDT的每一项是一个系统服务函数的地址，可...
遍历WIN7 64位SSDT表
qq_41490873的博客
08-26 1054
在64位系统里面，KeServiceDescriptorTable并未导出。 可以通过函数KiSystemCall64来找到服务表的地址，而KiSystemCall64也是未导出的。 找到KiSystemCall64函数的方法是读取kd> rdmsr c0000082 msr寄存器的值 。这样就可以找到服务表地址了 typedef struct _KSYSTEM_SERVICE_TABLE { PLONG ServiceTableBase;
windbg查看SSDT表
bcbobo21cn的专栏
09-05 1261
SSDT，System Services Descriptor Table，系统服务描述符表。 见此 https://blog.csdn.net/bcbobo21cn/article/details/52083557 这个表就是一个把ring3的Win32 API和ring0的内核函数联系起来。SSDT包含一个庞大的地址索引表，它还包含着一些其它有用的信息，诸如地址索引的基地址、服务函数个数等。 SSDT定义为下面结构体； typedef struct _SYSTEM_SERVICE_T...
初探SSDT
hongduilanjun的博客
03-17 2501
SSDT 的全称是 System Services Descriptor Table，系统服务描述符表。这个表就是一个把 Ring3 的 Win32 API 和 Ring0 的内核 API 联系起来。SSDT 并不仅仅只包含一个庞大的地址索引表，它还包含着一些其它有用的信息，诸如地址索引的基地址、服务函数个数等。通过修改此表的函数地址可以对常用 Windows 函数及 API 进行 Hook，从而实现对一些关心的系统动作进行过滤、监控的目的。一些 HIPS、防毒软件、系统监控、注册表监控软件往往会采用此接.
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值