SSDT HOOK技术(2)——获取SSDT表地址以及从中获取指定SSDT函数的地址

32 位系统和 64 位上，获取 SSDT 表的方式并不相同，获取 SSDT 表中的函数地址也不相同。

由于32位系统中SSDT是可以通过Ntoskrnl.exe导出的，所以可以直接获取SSDT地址。然而在64位系统上，SSDT不能导出，需要通过特征码寻找到KeServiceDescriptorTable的地址

1.32位获取SSDT的地址

在 32 位系统中，SSDT 表是内核 Ntoskrnl.exe 导出的一张表，导出符号为 KeServiceDescriptorTable，该表含有一个指针指向SSDT中包含 Ntoskrnl.exe 实现的核心服务。所以，我们要想在 32 位系统上获取 SSDT 表地址，直接获取 Ntoskrnl.exe 导出符号 KeServiceDescriptorTable 即可。

 

从Ntoskrnl.exe获取导出符号KeServiceDescriptorTable的代码如下：

extern SSDTEntry __declspec(dllimport) KeServiceDescriptorTable;

 dllimport是在外部程序需要使用DLL内相关内容时使用的关键字。当一个外部程序要使用DLL 内部代码（类，函数，全局变量）时，只需要在程序内部使用（dllimport）关键字声明需要使用的代码就可以了，即（dllimport）关键字是在外部程序需要使用DLL内部相关内容的时候才使用。（dllimport）作用是把DLL中的相关代码插入到应用程序中。

 

2.64位获取SSDT的地址

在 64 位系统中，SSDT 表并没有在内核 Ntoskrnl.exe 中导出，所以不能像 32 位那样直接获取导出符号 KeServiceDescriptorTable。所以，必须要使用其它方法获取。

根据文章技术分享逆向KiSystemCall64这个函数，发现这个函数调用了内核的KeServiceDescriptorTable和KeServiceDescriptorTableShadow，并且通过特征码4c8d15计算出KeServiceDescriptorTable的地址，计算公式为：

KeServiceDescriptorTable地址 = 特征码4c8d15地址 + 7 + offset

对于 KiSystemCall64 内核函数地址的获取，虽然 Ntoskrnl.exe 也没有导出内核函数 KiSystemCall64，但是，我们可以根据下面代码获取：

__readmsr(0xC0000082)

直接通过读取指定的 msr 得出。msr 的中文全称是就是“特别模块寄存器”（model specific register），它控制 CPU 的工作环境和标示 CPU 的工作状态等信息（例如倍频、最大 TDP、 危险警报温度），它能够读取，也能够写入，但是无论读取还是写入，都只能在 ring 0 下进行。我们通过读取 0xC0000082 寄存器，能够得到 KiSystemCall64 的地址，然后从 KiSystemCall64 的地址开始，往下搜索特征码。

 

核心代码如下：

	//获取KiSystemCall64函数地址
	pKiSystemCall64 = (PVOID)__readmsr(0xC0000082);
	//搜索特征码4C8D15
	for (ULONG i = 0; i < 1024; i++)
	{
		// 获取内存数据
		ulCode1 = *((PUCHAR)((PUCHAR)pKiSystemCall64 + i));
		ulCode2 = *((PUCHAR)((PUCHAR)pKiSystemCall64 + i + 1));
		ulCode3 = *((PUCHAR)((PUCHAR)pKiSystemCall64 + i + 2));
		//判断
		if (0x4C == ulCode1 &&
			0x8D == ulCode2 &&
			0x15 == ulCode3)
		{
			// 获取偏移
			lOffset = *((PLONG)((PUCHAR)pKiSystemCall64 + i + 3));
			// 根据偏移计算地址
			pServiceDescriptorTable = (PVOID)(((PUCHAR)pKiSystemCall64 + i) + 7 + lOffset);
			break;
		}

3.获取SSDT函数的地址

在 32 位系统中，SSDT 包含了所有内核导出函数的地址。每个地址长度为 4 字节。所以要获得 SSDT 中某个函数的地址

 pFunctionAddress = (PVOID)KeServiceDescriptorTable.ServiceTableBase[ulSSDTFunctionIndex];

而在64位系统中，ServiceTableBase 中存放的并不是 SSDT 函数的完整地址。而是存放的是 ServiceTableBase[SSDT函数索引号]>>4 的偏移地址。那么，64 位下计算 SSDT 函数地址的完整公式为：

ULONG ulOffset = ServiceTableBase[SSDT函数索引号] >> 4;
PVOID pSSDTFuncAddr = (PUCHAR)ServiceTableBase + ulOffset;

参考——

技术分享

技术分享