SSDT.h头文件
#ifndef _SSDT_H_
#define _SSDT_H_
// NT操作系统有多张服务表,SSDT就是其中一张
// NT操作系统使用如下结构描述一张服务表
typedef struct _KSERVICE_TABLE_DESCRIPTOR {
PULONG_PTR Base; // 服务表地址
PULONG Count; // 服务表中服务被调用次数的计数器
ULONG Limit; // 服务个数,即有多少个函数了
PUCHAR Number; // 服务参数表
} KSERVICE_TABLE_DESCRIPTOR, *PKSERVICE_TABLE_DESCRIPTOR;
// 流传NT使用下面的代码在模块ntoskrnl.exe中导出KeServiceDescriptorTable
//#define NUMBER_SERVICE_TABLES 4
//extern KSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable[NUMBER_SERVICE_TABLES];
//extern KSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTableShadow[NUMBER_SERVICE_TABLES];
// 根据流传,我们直接声明KeServiceDescriptorTable,就可使用它了
__declspec(dllimport) extern "C" PKSERVICE_TABLE_DESCRIPTORKeServiceDescriptorTable;
class CSSDT
{
public:
CSSDT(void);
~CSSDT(void);
void Show_SSDT(void);// 查看SSDT表
ULONG_PTR GetFunctionAddr(int iFunIndex);// 取SSDT表中指定索引号的函数地址
};
#endif// _SSDT_H_
-----------------------------------------
SSDT.cpp文件内容:
#include "stdafx.h"
#include "SSDT.h"
CSSDT::CSSDT(void)
{
}
CSSDT::~CSSDT(void)
{
}
/**
@Name: Show_SSDT
@Brief 查看SSDT表
@Param: void
@Return: void
*/
void CSSDT::Show_SSDT(void)
{
KSERVICE_TABLE_DESCRIPTOR ssdt = KeServiceDescriptorTable[0];
KdPrint(("[Show_SSDT] KeServiceDescriptorTable=0x%X \n", KeServiceDescriptorTable));
ssdt.Limit = ssdt.Limit > 0x11C ? 0x11C : ssdt.Limit;
for (int i = 0; i < ssdt.Limit; i++)
{
KdPrint(("[Show_SSDT %d] 0x%X \n", i, ssdt.Base[i]));
}
}
/**
@Name: GetFunctionAddr
@Brief 取SSDT表中指定索引号的函数地址
@Param: int iFunIndex
@Return: 成功返回指定索引号的函数地址,失败返回NULL
*/
ULONG_PTR CSSDT::GetFunctionAddr(int iFunIndex)
{
KSERVICE_TABLE_DESCRIPTOR ssdt = KeServiceDescriptorTable[0];
if (iFunIndex > ssdt.Limit)
{
KdPrint(("[GetFunctionAddr] failed: 索引超出范围 iFunIndex=%d > %d \n", iFunIndex, ssdt.Limit));
return NULL;
}
return ssdt.Base[iFunIndex];
}
---------------------------------------------------------------
// 驱动入口
#pragma INITCODE
NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
{
DriverObject->DriverUnload = DriverUnload;
KdPrint(("hello DriverEntry \r\n"));
CSSDT objSSDT;
//objSSDT.Show_SSDT();
KdPrint(("ssdt 0号函数地址:0x%X", objSSDT.GetFunctionAddr(0)));
KdPrint(("ssdt 122号函数地址:0x%X", objSSDT.GetFunctionAddr(122)));
KdPrint(("ssdt 123号函数地址:0x%X", objSSDT.GetFunctionAddr(123)));
return STATUS_SUCCESS;
}
-------------------------------------
效果截图: