使用WinDbg获取SSDT 系统服务描述表的函数服务号(索引)

今天研究了一下午SSDT的东东，最尴尬的是起初我不知道如何获取到SSDT的函数服务号，而这个玩意儿在不同版本的windows是不一样的，后面经过研究还是找到了正确的方法.这里简单的分享一下.

·    先用个图温习一下Win32API的调用流程吧

这里以函数QuerySystemInformation为例子

                                              

 

·    使用WinDbg获取SSDT函数表对应的索引

要知道Ntdll.dll中的Win32 API只是一个外壳而已，当从Ring3进入Ring0的时候会将所需要的SSDT索引放入到寄存器EAX中去，所以我们只需要获取到EAX的内容就可以知道函数对应的服务号了.

好的，我们开始吧，首先打开你的WinDbug，我们以函数QuerySystemInformation为例，我们输入：

Kd>u nt!ZwQuerySystemInformation

输出:

看到了吧，mov eax 105h，也就是说我们的服务号是105h.

来验证一下，看看是不是函数NtQuerySystemInformation。

我们先获取到SSDT的地址：

可以看到SSDT的地址是 83EC0D9C

然后通过服务号计算一下SSDT表中这个服务的位置。

Address = SSDT+4*服务号

我们得到结果为:0x83EC0D9C + 4*0x105 = 0x83EC11B0

然后使用命令:

Kd>dd 83EC11B0

我们得到函数的地址是 84073CD4

在使用u命令:

kd>u 84073CD4

看到了吧，我们成功的找到了函数NtQuerySystemInformation的地址.也就是说我们的服务号是正确的.