根据索引号读出SSDT表当前函数地址

公式: [[KeServiceDescriptorTable]+index(索引)*4] 

例如要读取 NtOpenProcess [[KeServiceDescriptorTable]+0x7A*4] 

 

1. 纯汇编读取

WinDbg推导公式 : dd poi[KeServiceDescriptorTable] + 0x7A*4 L 1

mul是无符号乘法
imul是带符号乘法

.cls 清屏

r ebx 读取寄存器的值

运行结果一致, 这样就读出了 NtOpenPorcess 的当前地址, 代码如下

 

        ULONG SSDT_NtOpenProcess_Cur_Addr;
    KdPrint(("驱动成功被加载...OK++++++++\n\n"));
    //读取SSDT表中 NtOpenProcess当前地址 KeServiceDescriptorTable
    // [[KeServiceDescriptorTable]+0x7A*4] 

    __asm
    {    
        int 3
        push ebx
        push eax
        mov ebx, KeServiceDescriptorTable
        mov ebx, [ebx]
        mov eax, 0x7A
        imul eax, 4    // shl eax, 2
        add ebx, eax
        mov ebx,[ebx]
        mov SSDT_NtOpenProcess_Cur_Addr, ebx

        pop eax
        pop ebx        
    }

    KdPrint(("SSDT_NtOpenProcess_Cur_Addr=%x\n\n",SSDT_NtOpenProcess_Cur_Addr));

2. 指针方法

定义一个KeServiceDescript结构

typedef struct _ServiceDescriptorTable {
    PVOID ServiceTableBase; //System Service Dispatch Table 的基地址  
    PVOID ServiceCounterTable;
    //包含着 SSDT 中每个服务被调用次数的计数器。这个计数器一般由sysenter 更新。 
    unsigned int NumberOfServices;//由 ServiceTableBase 描述的服务的数目。  
    PVOID ParamTableBase; //包含每个系统服务参数字节数表的基地址-系统服务参数表 
}*PServiceDescriptorTable;  
extern PServiceDescriptorTable KeServiceDescriptorTable;

调用指针, 获取基地址

    LONG *SSDT_Adr,SSDT_NtOpenProcess_Cur_Addr,t_addr; 
    KdPrint(("驱动成功被加载中.............................\n"));
    //读取SSDT表中索引值为0x7A的函数
    //poi(poi(KeServiceDescriptorTable)+0x7a*4)
    t_addr=(LONG)KeServiceDescriptorTable->ServiceTableBase;
    KdPrint(("当前ServiceTableBase地址为%x \n",t_addr));
    SSDT_Adr=(PLONG)(t_addr+0x7A*4);
    KdPrint(("当前t_addr+0x7A*4=%x \n",SSDT_Adr)); 
    SSDT_NtOpenProcess_Cur_Addr=*SSDT_Adr;    
    KdPrint(("当前SSDT_NtOpenProcess_Cur_Addr地址为%x \n",SSDT_NtOpenProcess_Cur_Addr));

运行截图如下:

 

 

 源码下载

运行环境 VS2010