MDL 内存映射实现HOOK_mdl command mgdshook-CSDN博客

本文链接：https://blog.csdn.net/slslslyxz/article/details/105446345

本文深入探讨了内核Hook技术的实现细节，通过修改ZwQueryDirectoryFile函数的内存内容，展示了如何在内核级别进行函数钩子设置，以达到监控或修改系统行为的目的。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

这种hook方式和ssdt HOOK有本质区别，不要搞混。

typedef NTSTATUS (*REALZWQUERYDIRECTORYFILE)(IN HANDLE hFile,
IN HANDLE hEvent OPTIONAL,
IN PIO_APC_ROUTINE IoApcRoutine OPTIONAL,
IN PVOID IoApcContext OPTIONAL,
OUT PIO_STATUS_BLOCK pIoStatusBlock,
OUT PVOID FileInformationBuffer,
IN ULONG FileInformationBufferLength,
IN FILE_INFORMATION_CLASS FileInfoClass,
IN BOOLEAN bReturnOnlyOneEntry,
IN PUNICODE_STRING PathMask OPTIONAL,
IN BOOLEAN bRestartQuery);

//定义一个原函数指针
REALZWQUERYSYSTEMINFORMATION RealZwQuerySystemInformation;
void DriverUnload(PDRIVER_OBJECT pDriveObj)
{
	DbgPrint("driver unloaded ...\n");
}
NTSTATUS DriverEntry(PDRIVER_OBJECT driver,PUNICODE_STRING reg)
{
	UNREFERENCED_PARAMETER(reg); //不用将编译警告等级设为3，不使用 就Unreferenced即可
	
	PMDL mdl;
	PVOID addrMm;
	ULONG addrKdEnterDebugger;
	ULONG addrKdEnteredDebugger;
	UNICODE_STRING func;
	ULONG addr = 0;

	RtlInitUnicodeString(&func, L"ZwQueryDirectoryFile");
	RealZwQueryDirectoryFile = (REALZWQUERYDIRECTORYFILE)MmGetSystemRoutineAddress(&func);
	DbgPrint("RealZwQueryDirectoryFile的地址：%x\n", (ULONG)RealZwQueryDirectoryFile);

	driver->DriverUnload = DriverUnload;
	/*IoAllocateMdl的作用是分配一个MDL结构，也就是将系统的一段内存空间映射到另外一个地方，然后修改这部分内存的保护属性，并修改其内容，以达到修改受保护内存的目的。第一参数为MDL内存的起始地址，第二个参数为MDL的长度。
	由于IoAllocateMdl创建的MDL都是指向非分页的虚拟内存的buffer中的，所以需要MmBuildMdlForNonPagedPool函数来在物理内存上更新这个MDL。*/
	
	//1、IoAllocateMdl创建一个mdl
	mdl=IoAllocateMdl((PVOID)RealZwQueryDirectoryFile, 5, FALSE, FALSE, NULL);
	//2、调用MmBuildMdlForNonPagedPool更新创建在非分页内存上的MDL
	//通过MmBuildMdlForNonPagedPool后，也可以使用 MmGetSystemAddressForMdl 宏获得系统空间地址。
	MmBuildMdlForNonPagedPool(mdl);
	DbgPrint("mdl->StartVa：%x,mdl->ByteCount：%d,mdl->MappedSystemVa:%x,mdl->ByteOffset:%d\n", mdl->StartVa, mdl->ByteCount,mdl->MappedSystemVa,mdl->ByteOffset);
	//3、调用MmProbeAndLockPages将内存页锁定，防止内容被修改,要在try，exception结构里面执行
	__try{
	MmProbeAndLockPages(mdl, KernelMode, IoWriteAccess);//锁定内存
	}//IoWriteAccess指定为写权限
	__except (EXCEPTION_EXECUTE_HANDLER)
	{
	DbgPrint("MmProbeAndLockPages exception\n");
	}
	//4、调用MmMapLockedPagesSpecifyCache函数生成用户模式下对应的虚拟地址，然后就能修改这个地址的内容来达到修改内核内容的目的
	addrMm = MmMapLockedPagesSpecifyCache(mdl, KernelMode, MmCached, 0, FALSE, NormalPagePriority);//创建一个内核模式下的虚拟内存对应ZwQueryDirectoryFile函数
	DbgPrint("addrMm=%x\n", addrMm);
	addrMm = MmMapLockedPagesSpecifyCache(mdl, UserMode, MmCached, 0, FALSE, NormalPagePriority);//创建一个用户模式下的虚拟内存对应ZwQueryDirectoryFile函数
	DbgPrint("addrMm=%x\n", addrMm);
	*((ULONG *)addrMm) = 0x90;//修改用户模式下的虚拟地址的值到修改内核模式下的//ZwQueryDirectoryFile函数前5个字节的目的
	*((ULONG *)((ULONG)addrMm + 1)) = 0x90909090;
	
	DbgPrint("RealZwQueryDirectoryFile=%x\n", *((ULONG *)RealZwQueryDirectoryFile));//打印修改以
	//后的内核ZwQueryDirectoryFile函数的前5个字节的内容
	// 5、调用MmUnmapLockedPages解除映射
	MmUnmapLockedPages(addrMm, mdl);

	// 6、MmFreePagesFromMdl释放MDL锁定的物理页
	MmFreePagesFromMdl(mdl);

	//7、调用IoFreeMdl 释放MDL
	IoFreeMdl(mdl);
}