ring0-新建SSDT项进行通讯（随手代码）

http://blog.csdn.net/hgy413/article/details/7107009

以下仅针对32位系统，在XP下测试：
以下是XP在ring3的调用方式:

[cpp] view plaincopy

1. // xp
2. ntdll!NtReadFile:
3. 7c92d9b0 b8b7000000   mov    eax,0B7h
4. 7c92d9b5 ba0003fe7f   mov    edx,offset SharedUserData!SystemCallStub (7ffe0300)
5. 7c92d9ba ff12           call    dword ptr [edx]   ds:0023:7ffe0300={ntdll!KiFastSystemCall (7c92e4f0)}
6. 7c92d9bc c22400       ret    24h
7. 7c92d9bf 90           nop
8. ntdll!KiFastSystemCall:
9. 7c92e4f0 8bd4           mov  edx,esp
10. 7c92e4f2 0f34           sysenter

所以原理也比较简单了，仿写即可，注意SSDT要去掉写保护！
ring3:

[cpp] view plaincopy

1. #include "stdafx.h"
2. #include <Windows.h>
3. __declspec(naked) void MyKiFastSystemCall()
4. {
5. __asm
6. {
7. mov  edx,esp;
8. __emit 0x0f;
9. __emit 0x34;
10. }
11. };
12. __declspec(naked) NTSTATUS NTAPI
13. IOSystemControl(
14. IN ULONG IoCtrl,
15. IN PVOID InputBuf,
16. IN ULONG InputBufLen,
17. OUT PVOID OutputBuf,
18. IN ULONG OutputLen,
19. OUT PULONG ReturnLen)
20. {
21. __asm
22. {
23. mov eax, 11Ch;
24. call MyKiFastSystemCall
25. retn 0x18;
26. }
27. }
28. int _tmain(int argc, _TCHAR* argv[])
29. {
30. char szBuf[100] = {0};
31. ULONG outlen = 0;
32. IOSystemControl(0x12345678,"hgy413",strlen("hgy413"),szBuf,99,&outlen);
33. printf("%s-%d\n",szBuf, outlen);
34. getchar();
35. return 0;
36. }

ring0:

[cpp] view plaincopy

1. #include "main.h"
2. // def
3. typedef struct _KSERVICE_TABLE_DESCRIPTOR
4. {
5. PULONG ServiceTableBase;//SSTD基地址
6. PULONG Count;               //包含着 SSDT 中每个服务被调用次数的计数器。这个计数器一般由sysenter 更新
7. ULONG TableSize;            //由 ServiceTableBase 描述的服务的数目
8. PUCHAR ArgumentTable;       //包含每个系统服务参数字节数表的基地址-系统服务参数表 每个表项是一个UCHAR，表示一个函数参数长度
9. } KSERVICE_TABLE_DESCRIPTOR, *PKSERVICE_TABLE_DESCRIPTOR;
10. //ssdt表已经导出了，这里例行公事下
11. extern PKSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable;
12. KSERVICE_TABLE_DESCRIPTOR ssdt_copy;
13. ULONG NewSsdtServiceTableBase[1024] = {0};
14. UCHAR NewSsdtServiceTableNumber[1024] = {0};
15. NTSTATUS
16. IoSystemControl(IN ULONG ControlCode,
17. IN PVOID InputBuffer OPTIONAL,
18. IN ULONG InputBufferLength,
19. OUT PVOID OutputBuffer OPTIONAL,
20. IN ULONG OutputBufferLength,
21. OUT PULONG ReturnLength OPTIONAL
22. )
23. {
24. NTSTATUS Status = STATUS_SUCCESS;
25. if (OutputBuffer&&MmIsAddressValid(OutputBuffer))
26. {
27. KdPrint(("%s\r\n",InputBuffer));
28. memset(OutputBuffer, 0x41, OutputBufferLength);//传出buf变为AAAAA...
29. if (ReturnLength&& MmIsAddressValid(ReturnLength))
30. {
31. *ReturnLength = 10; //传出size随便设置为10
32. }
33. }
34. return Status;
35. }
36. void  NtosAddSsdtServiceTable(
37. PVOID NewFunction,
38. ULONG NewNumber
39. )
40. {
41. NTSTATUS Status = STATUS_SUCCESS;
42. PEPROCESS Process;
43. //禁止写保护，不然蓝屏
44. __asm
45. {
46. MOV EAX, CR0;
47. OR  EAX, 10000H;
48. MOV CR0, EAX;
49. STI;
50. }
51. //复制原始服务表
52. //把原始表复制到我们的数组
53. memcpy(
54. NewSsdtServiceTableBase,
55. KeServiceDescriptorTable->ServiceTableBase,
56. KeServiceDescriptorTable->TableSize * 4
57. );
58. //原始函数个数
59. memcpy(
60. NewSsdtServiceTableNumber,
61. KeServiceDescriptorTable->ArgumentTable,
62. KeServiceDescriptorTable->TableSize
63. );
64. //修改SSDT表添加服务函数
65. NewSsdtServiceTableBase[ssdt_copy.TableSize] = NewFunction;
66. NewSsdtServiceTableNumber[ssdt_copy.TableSize] = NewNumber;
67. //更新内存里面导出 KeServiceDescriptorTable Ssdt 表
68. KeServiceDescriptorTable->ServiceTableBase = NewSsdtServiceTableBase;
69. KeServiceDescriptorTable->ArgumentTable = NewSsdtServiceTableNumber;
70. KeServiceDescriptorTable->TableSize = ssdt_copy.TableSize + 1;
71. //恢复写保护
72. __asm
73. {
74. MOV EAX, CR0;
75. OR  EAX, 10000H;
76. MOV CR0, EAX;
77. STI;
78. }
79. }
80. VOID DDKUnload (IN PDRIVER_OBJECT pDriverObject)
81. {
82. KdPrint(("[DDKUnload]-start\n"));
83. //恢复原始的
84. KeServiceDescriptorTable->ServiceTableBase = ssdt_copy.ServiceTableBase;
85. KeServiceDescriptorTable->Count = ssdt_copy.Count;
86. KeServiceDescriptorTable->TableSize = ssdt_copy.TableSize;
87. KeServiceDescriptorTable->ArgumentTable = ssdt_copy.ArgumentTable;
88. KdPrint(("[DDKUnload]-end\n"));
89. }
90. NTSTATUS DriverEntry (IN PDRIVER_OBJECT pDriverObject,
91. IN PUNICODE_STRING pRegistryPath)
92. {
93. KdPrint(("[DriverEntry]-start\n"));
94. pDriverObject->DriverUnload = DDKUnload;
95. // 保存原始的
96. ssdt_copy.ServiceTableBase = KeServiceDescriptorTable->ServiceTableBase;
97. ssdt_copy.Count = KeServiceDescriptorTable->Count;
98. ssdt_copy.TableSize = KeServiceDescriptorTable->TableSize;
99. ssdt_copy.ArgumentTable = KeServiceDescriptorTable->ArgumentTable;
100. //我们调用自定义函数，往SSDT表添加内存
101. NtosAddSsdtServiceTable(IoSystemControl, 24);
102. KdPrint(("[DriverEntry]-end\n"));
103. return STATUS_SUCCESS;
104. }

在驱动加载后，可以看到：

运行ring3小程序，可以看到outbuf为AAAAA..，大小为10：