挂钩SSDT详解附源代码-白红宇

挂钩SSDT详解附源代码

阅读量：5329 次

发布时间：2019-06-14

本文共 5753 字，大约阅读时间需要 19 分钟。

源代码下载地址：

据微软所言，服务描述符表是一个由四个结构组成的数组，其中的每一个结构都是由四个双字项组成。因此，我们可以将服务描述符表表示为：

typedef struct ServiceDescriptorTable

{

SDE ServiceDescriptor[4];

}SDT;

其中，其中的每一个服务描述符呈现出四个双字的形式，它的结构为：

#pragma pack(1)

typedef struct ServiceDescriptorEntry

{

unsigned int *ServiceTableBase;

unsigned int *ServiceCounterTableBase; //Used only in checked build

unsigned int NumberOfServices;

unsigned char *ParamTableBase;

} SDE,*PSDE;

#pragma pack()

我们寻找的数据结构SSDT是由第一个域所引用的调用表（可以在调试器中用命令dps nt!KiServiceTable查看）

一、禁用WP位

如果我们能够简单的将值换人并换出SSDT该有多好，然而障碍在于SSDT存在于只读内存中。因此，为了挂钩由SSDT引用的例程，我们一般的策略看起来应该类似于以下形式（以伪代码表示）：

DisableReadProtection();

ModifySSDT();

EnableReadProtection();

英特尔的文档写明：“如果CR0.WP=1，访问类型由页目录和页表项的R/W标志位决定。如果CR0.WP=0，超级用户权限允许读写访问。”因此，为破坏SSDT上的写保护，我们需要临时清除写保护（Write Protect，WP）标志。

通过分配自己的MDL来描述SSDT,我们可以禁用读保护。MDL与存储SSDT内容的物理内存页相关联，MDL元素结构在WDK附带的wdm.h头文件中的定义为：

typedef struct _MDL

{

struct _MDL *Next;

CSHORT Size;

CSHORT MdlFlags;

struct _EPROCESS *Process;

PVOID MappedSystemVa;

PVOID StartVa;

ULONG ByteCount;

ULONG ByteOffset;

}MDL,*PMDL;

对于物理内存的这一区域，一旦我们添加了自己的私有描述，就可以使用按位OR以及MDL_MAPPED_TO_SYSTEM_VA宏调整MDL的权限。再一次，我们可以成功实现，因为我们拥有自己的MDL对象。最后，我们使用SSDT在物理内存中的位置与MDL之间的映射正式化。

然后，锁定我们在线性空间创建的MDL缓冲区。作为回报，我们得到一个新的线性地址，它也指向SSDT，而且能够对其进行修改。

简而言之，使用MDL，我们在系统的线性地址空间中创建了新的可写缓冲区，它恰好解析成存储SSDT的物理内存。只要两个区域解析成同样的物理内存区域，它就没什么不同。它只是一个数字游戏，纯粹而简单。如果你不能写入线性内存的给定区域，那么就创建自己的区域并且向其写入。

WP_GLOBALS disableWP_MDL(unsigned int *ssdt,unsigned int nServices)

{

WP_GLOBALS wpGbs;

DbgPrint("[disableWP_MDL] SSDT=%\n",ssdt);

DbgPrint("[disableWP_MDL] nServices=%\n",nServices);

wpGbs.pMDL = MmCreateMdl(NULL, (PVOID)ssdt, (SIZE_T)nServices*4);

if(wpGbs.pMDL==NULL)

{

DbgPrint("[disableWP_MDL] %\n","call to MmCreateMdl failed");

return (wpGbs);

}

MmBuildMdlForNonPagedPool(wpGbs.pMDL);

wpGbs.pMDL->MdlFlags = wpGbs.pMDL->MdlFlags | MDL_MAPPED_TO_SYSTEM_VA;

wpGbs.callTable = (unsigned char*)MmMapLockedPages(wpGbs.pMDL, KernelMode);

if(wpGbs.callTable==NULL)

{

DbgPrint("[disableWP_MDL] %\n","call to MmMapLockedPages failed");

return (wpGbs);

}

return (wpGbs);

}

这个例程返回一个结构，它只是一个指向我们MDL和SSDT指针的包装器。

typedef struct _WP_GLOBALS

{

unsigned char *callTable;

PMDL pMDL;

}WP_GLOBALS;

我们通过前面的函数返回该结构，以便访问可写版本的SSDT，而且当不再需要MDL缓冲区时，我们可以复原事务的原始状态。为复原系统状态，我们使用以下函数：

void enableWP_MDL(PMDL mdlPtr,unsigned char *callTable)

{

if(mdlPtr != NULL)

{

MmUnmapLockedPages((PVOID)callTable, mdlPtr);

IoFreeMdl(mdlPtr);

}

二、挂钩SSDT项

一旦禁用了写保护，我们可以使用以下例程将新的函数地址换人SSDT

unsigned char* hookSSDT(unsigned char *apiCall,unsigned char *newAddr,unsigned int *callTable)

{

PLONG target;

unsigned int indexValue;

indexValue = getSSDTIndex(apiCall);

target = (PLONG)&(callTable[indexValue]);

return ((unsigned char*)InterlockedExchange(target,(LONG)newAddr));

}

该例程接收挂钩例程的地址、现有例程的地址以及指向SSDT的指针，返回现有例程的地址（以便完成任务后恢复SSDT）。

给定某个Nt*()函数，他的地址在SSDT中的什么位置？我们在调试器中使用u nt!Zw*命令查看汇编代码,发现这种函数开始处的汇编代码都是这种格式：mov eax，xxxH，这个xxx就是系统调用的索引号。

unsigned int getSSDTIndex(unsigned char *address)

{

unsigned char *addressOfIndex;

unsigned int indexValue;

addressOfIndex = address + 1;

indexValue = *((PULONG)addressOfIndex);

return (indexValue);

}

一旦有了索引值，定位表项的地址并且将其换出就是一件简单的事情。但是请注意，我们必须使用InterlockedExchange()锁定对此项的访问，以便我们暂时拥有独占的访问权。与IDT或GDT这样基于处理器的结构不同，不论多少个处理器正在运行，只有一个单独的SSDT。

对SSDT中的系统调用脱钩使用同样的基本机制。唯一的不同之处在于我们不向调用例程返回值。

void unHookSSDT(unsigned char *apiCall,unsigned char *oldAddr,unsigned int *callTable)

{

PLONG target;

unsigned int indexValue;

indexValue = getSSDTIndex(apiCall);

target = (PLONG)&(callTable[indexValue]);

InterlockedExchange(target,(LONG)oldAddr);

}

三、 SSDT示例

既然已经分析了组成这首乐曲的各种和弦，让我们将其演奏起来听听看。挂钩ZwTerminateProcess系统调用。

NTSTATUS DriverEntry (

IN PDRIVER_OBJECT DriverObject,

IN PUNICODE_STRING RegistryPath

)

{

DbgPrint("Load SSDT Driver \n");

DriverObject ->DriverUnload = UnLoad;

wpGlobals = disableWP_MDL(KeServiceDescriptorTable.ServiceTableBase, KeServiceDescriptorTable.NumberOfServices);

if(wpGlobals.pMDL==NULL || wpGlobals.callTable==NULL)

{

return (STATUS_UNSUCCESSFUL);

}

pMDL = wpGlobals.pMDL;

systemCallTable = (PVOID *)wpGlobals.callTable;

Old_ZwTerminateProcess =(ZwTerminateProcessPtr)hookSSDT((unsigned char*)ZwTerminateProcess, (unsigned char*)NewZwTerminateProcess, (unsigned int*)systemCallTable);

return STATUS_SUCCESS;

}

KeServiceDescriptorTable是由ntoskrnl.exe导出的符号。要想访问它，我们必须为声明加上__declspec(dllimport)前缀，以便编译器知道我们在做什么。导出的内核符号为我们提供了内存中一个位置的地址。我们提供的数据类型定义（即typedef struct ServiceDescriptorEntry）把某个复合结构强加于这个地址的内存。通过这种通用方法，你能够修改由操作系统导出的任意变量。

我们将返回值保存到三个全局变量中（pMDL，systemCallTable，Old_ZwTerminateProcess），以便能够脱钩系统调用，并且重新启用写保护。

VOID

UnLoad (

IN PDRIVER_OBJECT DriverObject

)

{

DbgPrint("Unload SSDT Driver \n");

unHookSSDT((unsigned char*)ZwTerminateProcess, (unsigned char*)Old_ZwTerminateProcess, (unsigned int*)systemCallTable);

enableWP_MDL(pMDL,(unsigned char*)systemCallTable);

}

每当ZwTerminateProcess被调用，我们挂钩的函数都会被调用。为了存储实现此接口的现有系统调用的地址，定义以下的函数指针数据类型。

typedef NTSTATUS(*ZwTerminateProcessPtr)(