前提:设置好操作系统的符号表
SSDT表的查看:
kd> x nt!kes*des*table* 80553fe0 nt!KeServiceDescriptorTableShadow = 80554020 nt!KeServiceDescriptorTable = kd> dd 80554020 80554020 80502b9c 00000000 0000011c 80503010 80554030 00000000 00000000 00000000 00000000 80554040 00000000 00000000 00000000 00000000 80554050 00000000 00000000 00000000 00000000 80554060 00002710 bf80c0a9 00000000 00000000 80554070 f7a58a80 f71feb60 82ec3a90 806e2f40 80554080 00000000 00000000 4422b408 00000000 80554090 08174448 01cd7c5e 00000000 00000000 kd> dds 80502b9c L11c 80502b9c 8059a9f4 nt!NtAcceptConnectPort 80502ba0 805e7e6e nt!NtAccessCheck 80502ba4 805eb6b4 nt!NtAccessCheckAndAuditAlarm
SSSDT的查看
SSSDT在没有GDI的进程中是无法加载显示的 所以要附加到一个GDI进程
shadowSSDT查看
1. 在虚拟机中运行mspaint.exe(GDI进程)
2. !process 0 0
3. .process /p mspaint的eprocess
4.kd > x nt!*kes*des*table* 80553fe0 nt!KeServiceDescriptorTableShadow = 80554020 nt!KeServiceDescriptorTable = kd > dd 80553fe0 80553fe0 80502b9c 00000000 0000011c 80503010 80553ff0 bf99a100 00000000 0000029b bf99ae10 80554000 00000000 00000000 00000000 00000000 80554010 00000000 00000000 00000000 00000000 kd > dds bf99a100 L29b bf99a100 bf93637f win32k!NtGdiAbortDoc
WinDbg x86下查看SSDT SSSDT
最新推荐文章于 2023-07-21 15:58:25 发布