两种方法获取shadow ssdt

[cpp] view plain copy

print?

  1. ULONG
  2. GetShadowSsdtCurrentAddresses(
  3. PSSDT_ADDRESS   AddressInfo,
  4. PULONG          Length
  5. )
  6. {
  7. PSYSTEM_SERVICE_TABLE KeServiceDescriptorTableShadow = NULL;
  8. ULONG NumberOfService = 0;
  9. ULONG ServiceId = 0;
  10. PKAPC_STATE ApcState;
  11. ULONG i;
  12. if (AddressInfo == NULL || Length == NULL)
  13. {
  14. KdPrint(("[GetShadowSsdtCurrentAddresses] 输入参数无效"));
  15. return 0;
  16. }
  17. //KdPrint(("pid = %d", PsGetCurrentProcessId()));
  18. ServiceId = (ULONG)PsGetCurrentProcessId();
  19. if (!g_CsrssProcess) {
  20. PsLookupProcessByProcessId((PVOID)ScPsGetCsrssProcessId(), &g_CsrssProcess);
  21. }
  22. KeServiceDescriptorTableShadow = GetKeServiceDescriptorTableShadow();
  23. if (KeServiceDescriptorTableShadow == NULL)
  24. {
  25. KdPrint(("[GetShadowSsdtCurrentAddresses] GetKeServiceDescriptorTableShadow failed"));
  26. return 0;
  27. }
  28. NumberOfService = KeServiceDescriptorTableShadow->NumberOfService;
  29. if (Length[0] < NumberOfService * sizeof(SSDT_ADDRESS))
  30. {
  31. Length[0] = NumberOfService * sizeof(SSDT_ADDRESS);
  32. return 0;
  33. }
  34. ApcState = ExAllocatePoolWithTag(NonPagedPool, sizeof(KAPC_STATE), MEM_TAG);
  35. KeStackAttachProcess((PRKPROCESS)g_CsrssProcess, ApcState);
  36. for (ServiceId = 0; ServiceId < NumberOfService; ServiceId ++)
  37. {
  38. AddressInfo[ServiceId].FunAddress = (ULONG)
  39. KeServiceDescriptorTableShadow->ServiceTableBase[ServiceId];
  40. AddressInfo[ServiceId].nIndex = ServiceId;
  41. }
  42. KeUnstackDetachProcess(ApcState);
  43. ExFreePool(ApcState);
  44. Length[0] = NumberOfService * sizeof(SSDT_ADDRESS);
  45. return NumberOfService;
  46. }
  47. ///////////////////////////////////////////////////////////////////////////////////
  48. //
  49. //  功能实现：枚举当前Shadow SSDT 表函数地址
  50. //  输入参数：void
  51. //  输出参数：返回Shadow ssdt table
  52. //
  53. ///////////////////////////////////////////////////////////////////////////////////
  54. PSYSTEM_SERVICE_TABLE
  55. GetKeServiceDescriptorTableShadow(VOID)
  56. {
  57. PSYSTEM_SERVICE_TABLE ShadowTable = NULL;
  58. ULONG   ServiceTableAddress = 0;
  59. PUCHAR  cPtr = NULL;
  60. for (cPtr = (PUCHAR)KeAddSystemServiceTable;
  61. cPtr < (PUCHAR)KeAddSystemServiceTable + PAGE_SIZE;
  62. cPtr += 1 )
  63. {
  64. if (!MmIsAddressValid(cPtr))  continue;
  65. ServiceTableAddress = *(PULONG)cPtr;
  66. if (!MmIsAddressValid((PVOID)ServiceTableAddress)) continue;
  67. if (memcmp((PVOID)ServiceTableAddress, &KeServiceDescriptorTable, 16) == 0)
  68. {
  69. if ((PVOID)ServiceTableAddress == &KeServiceDescriptorTable) continue;
  70. ShadowTable = (PSYSTEM_SERVICE_TABLE)ServiceTableAddress;
  71. ShadowTable ++;
  72. return ShadowTable;
  73. }
  74. }
  75. return NULL;
  76. }
  77. //
  78. // 方法2，通过硬编码实现，不通用
  79. //
  80. PSYSTEM_SERVICE_TABLE
  81. GetKeServiceDescriptorTableShadow_2(VOID)
  82. /*++
  83. KeAddSystemServiceTable函数
  84. 805ba5a3 8d8840a65580    lea    ecx,nt!KeServiceDescriptorTableShadow (8055a640)[eax]
  85. 805ba5a9 833900          cmp    dword ptr [ecx],0
  86. --*/
  87. {
  88. PSYSTEM_SERVICE_TABLE ShadowTable;
  89. ULONG   ServiceTableAddress;
  90. PUCHAR  cPtr, pOpcode;
  91. ULONG   Length = 0;
  92. for (cPtr = (PUCHAR)KeAddSystemServiceTable;
  93. cPtr < (PUCHAR)KeAddSystemServiceTable + PAGE_SIZE;
  94. cPtr += Length )
  95. {
  96. if (!MmIsAddressValid(cPtr))  return NULL;
  97. Length = SizeOfCode(cPtr, &pOpcode);
  98. if (!Length || (Length == 1 && *pOpcode == 0xC3)) return NULL;
  99. if (*(PUSHORT)pOpcode == 0x888D)
  100. {
  101. ServiceTableAddress = *(PULONG)(pOpcode + 2);
  102. ShadowTable = (PSYSTEM_SERVICE_TABLE)ServiceTableAddress;
  103. ShadowTable ++;
  104. return ShadowTable;
  105. }
  106. }
  107. return NULL;
  108. }

ULONG
GetShadowSsdtCurrentAddresses(
PSSDT_ADDRESS AddressInfo,
PULONG Length
)
{
PSYSTEM_SERVICE_TABLE KeServiceDescriptorTableShadow = NULL;
ULONG NumberOfService = 0;
ULONG ServiceId = 0;
PKAPC_STATE ApcState;
ULONG i;

if (AddressInfo == NULL || Length == NULL)
{
KdPrint(("[GetShadowSsdtCurrentAddresses] 输入参数无效"));
return 0;
}

//KdPrint(("pid = %d", PsGetCurrentProcessId()));
ServiceId = (ULONG)PsGetCurrentProcessId();

if (!g_CsrssProcess) {
PsLookupProcessByProcessId((PVOID)ScPsGetCsrssProcessId(), &g_CsrssProcess);
}

KeServiceDescriptorTableShadow = GetKeServiceDescriptorTableShadow();

if (KeServiceDescriptorTableShadow == NULL)
{
KdPrint(("[GetShadowSsdtCurrentAddresses] GetKeServiceDescriptorTableShadow failed"));
return 0;
}

NumberOfService = KeServiceDescriptorTableShadow->NumberOfService;
if (Length[0] < NumberOfService * sizeof(SSDT_ADDRESS))
{
Length[0] = NumberOfService * sizeof(SSDT_ADDRESS);
return 0;
}

ApcState = ExAllocatePoolWithTag(NonPagedPool, sizeof(KAPC_STATE), MEM_TAG);
KeStackAttachProcess((PRKPROCESS)g_CsrssProcess, ApcState);

for (ServiceId = 0; ServiceId < NumberOfService; ServiceId ++)
{
AddressInfo[ServiceId].FunAddress = (ULONG)
KeServiceDescriptorTableShadow->ServiceTableBase[ServiceId];
AddressInfo[ServiceId].nIndex = ServiceId;
}

KeUnstackDetachProcess(ApcState);
ExFreePool(ApcState);

Length[0] = NumberOfService * sizeof(SSDT_ADDRESS);
return NumberOfService;
}

///////////////////////////////////////////////////////////////////////////////////
//
// 功能实现：枚举当前Shadow SSDT 表函数地址
// 输入参数：void
// 输出参数：返回Shadow ssdt table
//
///////////////////////////////////////////////////////////////////////////////////
PSYSTEM_SERVICE_TABLE
GetKeServiceDescriptorTableShadow(VOID)
{
PSYSTEM_SERVICE_TABLE ShadowTable = NULL;
ULONG ServiceTableAddress = 0;
PUCHAR cPtr = NULL;

for (cPtr = (PUCHAR)KeAddSystemServiceTable;
cPtr < (PUCHAR)KeAddSystemServiceTable + PAGE_SIZE;
cPtr += 1 )
{
if (!MmIsAddressValid(cPtr)) continue;

ServiceTableAddress = *(PULONG)cPtr;
if (!MmIsAddressValid((PVOID)ServiceTableAddress)) continue;

if (memcmp((PVOID)ServiceTableAddress, &KeServiceDescriptorTable, 16) == 0)
{
if ((PVOID)ServiceTableAddress == &KeServiceDescriptorTable) continue;
ShadowTable = (PSYSTEM_SERVICE_TABLE)ServiceTableAddress;
ShadowTable ++;
return ShadowTable;
}
}
return NULL;
}
//
// 方法2，通过硬编码实现，不通用
//
PSYSTEM_SERVICE_TABLE
GetKeServiceDescriptorTableShadow_2(VOID)
/*++
805ba5a3 8d8840a65580 lea ecx,nt!KeServiceDescriptorTableShadow (8055a640)[eax]
805ba5a9 833900 cmp dword ptr [ecx],0
--*/
{
PSYSTEM_SERVICE_TABLE ShadowTable;
ULONG ServiceTableAddress;
PUCHAR cPtr, pOpcode;
ULONG Length = 0;

for (cPtr = (PUCHAR)KeAddSystemServiceTable;
cPtr < (PUCHAR)KeAddSystemServiceTable + PAGE_SIZE;
cPtr += Length )
{
if (!MmIsAddressValid(cPtr)) return NULL;

Length = SizeOfCode(cPtr, &pOpcode);

if (!Length || (Length == 1 && *pOpcode == 0xC3)) return NULL;

if (*(PUSHORT)pOpcode == 0x888D)
{
ServiceTableAddress = *(PULONG)(pOpcode + 2);
ShadowTable = (PSYSTEM_SERVICE_TABLE)ServiceTableAddress;
ShadowTable ++;
return ShadowTable;
}
}
return NULL;
}

时间： 2024-11-06 03:35:40

两种方法获取shadow ssdt的相关文章

两种方法获取MyBatis刚刚插入的id

主要就是在xml文件中的写法,其他省略 方法一: <insert id="insert" parameterType="com.xxx.xxxx.pojo.User"> insert into t_user (name) values (#{user.name}) <selectKey resultType="Integer" order="AFTER" keyProperty="user.user

两种方法修改table表的内容

用两种方法获取和修改table表中数据,代码如下: 第一种方案的思想是,根据table中的当前 tr 的位置来定位,当前修改的tr .     第二种方案的思想是,给table中的每个 tr 做一个标记,根据此标记来修改当前的tr .  html代码: <!DOCTYPE html> <html> <head> <meta charset="utf-8" /> <title>table</title> <sc

用easyui从servlet传递json数据到前端页面的两种方法

用easyui从servlet传递json数据到前端页面的两种方法 两种方法获取的数据在servlet层传递的方法相同,下面为Servlet中代码,以查询表中所有信息为例. //重写doGet方法 protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { // TODO Auto-generated method stu

js+jquery动态设置/增加/删除/获取元素属性的两种方法集锦对比(动态onclick属性设置+动态title设置)

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0//EN" "http://www.w3.org/TR/REC-html140/strict.dtd"> <html> <head> <meta http-equiv="content-type" content="text/html; charset=utf-8"/> <title>

QT中获取选中的radioButton的两种方法（动态取得控件的objectName之后，对名字进行比较）

QT中获取选中的radioButton的两种方法 QT中要获取radioButton组中被选中的那个按钮,可以采用两种如下两种办法进行: 方法一:采用对象名称进行获取 代码: 1 QRadioButton* pbtn = qobject_cast<QRadioButton*>(ui->BG->checkedButton()); 2 QString name = pbtn->objectName(); 3 if(!QString::compare(name, "rad

javascript获取json对象的key名称的两种方法

javascript获取json对象的key名称的两种方法 数据处理中,你可能接收到一个不确定内容格式的json对象,然后要把key的值提取出来.今天试过两种可以提取json key的方法,均可以正常工作. 先看第一种方法 jsonObj = { Name: 'richard', Value: '8' }for (key in jsonObj){ console.log(key); //add your statement to get key value} 结果 NameValue 第二种方法

RadioButon 获取单选按钮组选中值的两种方法！

在单选按钮中我们一般需要获得当前用户选择的按钮值是什么,想要得到用户的选择有两种方法. 第一种:在改变单选按钮组的值时获取.在改变单选按钮的值时获取选中项的值时,首先需要获取单选按钮组,然后为其添加OnCheckedChangeListener,并在onCheckedChanged()方法中根据参数checkedId获取被选中的单选按钮,并通过其getText()方法获取该单选按钮对应的值: 第二种:单击其他按钮时获取.首先需要在该按钮的单击事件的监听器的onClick()方法中,通过for循环

两种方法检查Android是否已获取root权限

现在Android手机root权限可以说是轻松就获取得到的,而关于判断手机是否已经root的方法,你了解吗?如果app有一些特殊功能需要root权限,则需要判断是否root.不知道root是不是意味着手机不安全?说到底还是想一台究竟,你可以学习Android应用开发视频教程.下面介绍两种方法: 方法1: /*** @author Kevin Kowalewski**/public class Root { private static String LOG_TAG = Root.class.ge

获取网页URL地址及参数等的两种方法(js和C#)

转:获取网页URL地址及参数等的两种方法(js和C#) 一 js 先看一个示例 用javascript获取url网址信息 <script type="text/javascript"> document.write("location.host="+location.host+"<br>"); document.write("location.hostname="+location.hostname+&