WINDOWS内核学习笔记1—Shadow SSDT表
2014-10-09 17:28
796 查看
近期学习内核的东西,感觉会忘记,记录一下学习过程的收获,日后也方便查找。
1.关于Shadow SSDT表
系统中一共有两个SDT,一个是ServiceDescriptorTable,另一个是ServiceDescriptorTableShadow。ServiceDescriptor中只有指向KiServiceTable的SST,而ServiceDescriptorTableShadow则包含了所有的两个SST。SSDT是可以访问的,而SSDTShadow是不公开的。如何在WINDBG下查看Shadow
SSDT,参考:http://blog.csdn.net/gaara_fan/article/details/6277657
2.取Shadow SSDT表地址的4种方法
KeServiceDescriptorTableShadow包含4个子结构,其中第一个就是ntoskrnl.exe,和SSDT指向一样,第二个win32k.sys,我们需要的就是这个,第三第四个一般不用。
同一操作系统中SSDT表和ShadowSSDT表的偏移大小相同。
这里只给出其中一种方法,其他的可参考百度文库:http://wenku.baidu.com/link?url=wpnM25THNZX-YI6xQxCP33HL-Ts6HyMXm6ibtx-jyXPi6HdyV85MCOV01iPTL92dasj5t1e-lMi_ZUuhoK-CXkdrRHfrGbEXDTfsrrQljaG
1.关于Shadow SSDT表
系统中一共有两个SDT,一个是ServiceDescriptorTable,另一个是ServiceDescriptorTableShadow。ServiceDescriptor中只有指向KiServiceTable的SST,而ServiceDescriptorTableShadow则包含了所有的两个SST。SSDT是可以访问的,而SSDTShadow是不公开的。如何在WINDBG下查看Shadow
SSDT,参考:http://blog.csdn.net/gaara_fan/article/details/6277657
2.取Shadow SSDT表地址的4种方法
KeServiceDescriptorTableShadow包含4个子结构,其中第一个就是ntoskrnl.exe,和SSDT指向一样,第二个win32k.sys,我们需要的就是这个,第三第四个一般不用。
同一操作系统中SSDT表和ShadowSSDT表的偏移大小相同。
#define VERSION_2K 50 #define VERSION_XP 51
ULONG GetVersion() { ULONG rtn=0; ULONG MajorVer,MinVer,BuildNumber; PsGetVersion(&MajorVer,&MinVer,&BuildNumber,NULL); rtn=MajorVer; rtn=rtn*10; rtn+=MinVer; return rtn; } ULONG GetSSDTShadow_Addr() { ULONG SSDTShadow_Addr=0; ULONG Version=GetVersion(); KdPrint(("version:%d",Version)); switch(Version) { case VERSION_2K: break; case VERSION_XP: SSDTShadow_Addr=(ULONG)KeServiceDescriptorTable-0x40; //XP系统下 break; } KdPrint(("SSDTShadow_Addr:%x\n",SSDTShadow_Addr)); return SSDTShadow_Addr; }
这里只给出其中一种方法,其他的可参考百度文库:http://wenku.baidu.com/link?url=wpnM25THNZX-YI6xQxCP33HL-Ts6HyMXm6ibtx-jyXPi6HdyV85MCOV01iPTL92dasj5t1e-lMi_ZUuhoK-CXkdrRHfrGbEXDTfsrrQljaG
相关文章推荐
- Windows内核学习笔记(三)-- IRP请求处理及完成机制
- Windows内核学习笔记(一)
- Windows内核学习笔记(四)-- 编写程序手动加载驱动程序
- Win内核原理与实现学习笔记1-windows内核版本列表
- Windows内核学习笔记-- 编写程序手动加载驱动程序
- Windows内核学习笔记(六)-- [总结]创建IRP的四种不同方式
- Debuggee not connected 寒江孤钓<<windows 内核安全编程>> 学习笔记
- 无法编译出.sys文件 寒江孤钓<<windows 内核安全编程>> 学习笔记
- Windows内核学习笔记(一)--浅谈驱动对象、设备对象与请求
- windows via c/c++ 学习笔记(二) 内核同步
- 删除自定义服务 寒江孤钓<<windows 内核安全编程>> 学习笔记
- 指定的服务已标记为删除 寒江孤钓<<windows 内核安全编程>> 学习笔记
- Win内核原理与实现学习笔记3-windows系统结构
- 发生系统错误 1275.此驱动程序被阻止加载 寒江孤钓<<windows 内核安全编程>> 学习笔记
- Windows内核学习笔记
- Windows内核学习笔记(五)-- 详解CTL_CODE宏
- Windows内核学习笔记(二)-- IoCallDriver函数与PoCallDriver函数
- ERROR: Symbol file could not be found 寒江孤钓<<windows 内核安全编程>> 学习笔记
- [学习笔记]在windows下编译内核[大杂烩]
- C#学习笔记(二十):Windows应用程序安装部署概念