Windbg里查看Shadow SSDT
来源:互联网 发布:面向对象的编程语言 编辑:程序博客网 时间:2024/05/16 13:53
内核当中已经导出了KeServiceDescriptorTable,可以直接在Windbg当中使用dd命令查看,对于Shadow SSDT的地址,在WinXP当中,地址是KeServiceDescriptorTable-0x40.为了查看win32k的SYSTEM_SERVICE_TABLE,记得要切换到具有图形界面的进程上下文当中才能正确查看.KeServiceDescriptorTableShadow包含了4个SYSTEM_SERVICE_TABLE结构,但是只用了前两个,第一个和KeServiceDescriptorTable一样,查看ntoskrnl.exe的服务.而第二个这是查看win32k.sys的服务.
ring3下3个重要的系统dll,KERNEL32.dll,USER32.dll和GDI32.dll在内核中的实现对应关系为KERNEL32.dll->Ntoskrnl.exe,USER32.dll,GDI32.dll->Win32k.sys.为了查看win32k.sys的服务表,必须进入拥有用户Session的进程上下文(不过如果你想对ShadowSSDT里的函数用u命令还是要切到有GUI的进程中),win32k.sys才会被加载.具体命令流程如下:
1. !Process 0 0 //枚举进程,!命令
2. .process /p xxxxxxxx //xxxxxxxx表示_EPROCESS地址, .命令
3. dd poi[KeServiceDescriptorTable-0x40+0x10] //+0x10表示跳过ntoskrnl的SYSTEM_SERVICE_TABLE
有图有真相,如果发现在windbg无法查看shadow SSDT的童鞋可以参考一下^_^
- Windbg里查看Shadow SSDT
- Windbg里查看Shadow SSDT
- Windbg查看Shadow SSDT
- Windbg查看Shadow SSDT
- Windbg 查看SSDT表
- 在windbg中测试shadow ssdt , win32k!NtUserGetForegroundWindow , hook shadow ssdt
- 在windbg中测试shadow ssdt , win32k!NtUserGetForegroundWindow , hook shadow ssdt
- WinDbg x86下查看SSDT SSSDT
- shadow ssdt
- 使用Windbg查看系统SSDT表与ShadowSSDT表
- shadow ssdt学习笔记
- shadow ssdt学习笔记
- Hook Shadow SSDT
- 转Hook Shadow SSDT
- shadow ssdt学习笔记
- shadow ssdt学习笔记
- 挂钩shadow SSDT
- Hook Shadow SSDT
- Foxmail与张小龙
- MD5 单向加密,为保存用户密码
- win建立无线虚拟路由
- flex 在表格(DataGrid)中搜索
- MongoDB的Python接口 PyMongo
- Windbg里查看Shadow SSDT
- IOS_禁用UIWebView的ActionSheet
- pkg-config 会获得pc 文件的信息
- Ubuntu 11.04 最常用的31个快捷键 (转载)
- LC.EXE 已退出,代码为-1的问题
- 如何用SQL查找30天内过生日的人?
- Porting WiFi drivers to Android
- android 文本框输入法控制
- c里面宏定义的一个很有用的符号#