SSDT结构

SSDT的全称是System Services Descriptor Table，系统服务描述符表 在ntoskrnl.exe导出KeServiceDescriptorTable 这个表typedef struct ServiceDescriptorTable {   PVOID ServiceTableBase; //System Service Dispatch Table 的基地址   PVOID ServiceCounterTable(0); //包含着 SSDT 中每个服务被调用次数的计数器。这个计数器一般由sysenter 更新。   unsigned int NumberOfServices;//由 ServiceTableBase 描述的服务的数目。   PVOID ParamTableBase; //包含每个系统服务参数字节数表的基地址-系统服务参数表   }  打开双击调试dd KeServiceDescriptorTable  80553fa0  80502b8c 00000000 0000011c 8050300080553fb0  00000000 00000000 00000000 0000000080553fc0  00000000 00000000 00000000 0000000080553fd0  00000000 00000000 00000000 0000000080553fe0  00002710 bf80c0b6 00000000 0000000080553ff0  f8b97a80 f8339b60 8201ca90 806e2f4080554000  00000000 00000000 00000000 0000000080554010  3aeb00c0 01cd83a3 00000000 00000000第一列显示的时内存地址，也就是KeServiceDescriptorTable在内存里面的地址，这个不管加黑的那个就是这个结构体的第一个值，也就是ServiceTableBase的值，这里存放SSDT的表项dd 80502b8c （当然也可以 dd poi[KeServiceDescriptorTable]） 80502b8c  8059a948 805e7db6 805eb5fc 805e7de880502b9c  805eb636 805e7e1e 805eb67a 805eb6be80502bac  8060cdfe 8060db50 805e31b4 805e2e0c80502bbc  805cbde6 805cbd96 8060d424 805ac5ae80502bcc  8060ca3c 8059edbe 805a6a00 805cd8c480502bdc  80500828 8060db42 8056ccd6 8053600e80502bec  806060d4 805b2c3a 805ebb36 8061ae5680502bfc  805f0028 8059b036 8061b0aa 8059a8e8这里就是表项了..命令dd poi[KeServiceDescriptorTable]+0n17*4 l 180502bd0  8059edbe这个是查看序号17的值，0n表示17是十进制表示，l 1表示只列出一个这个17嘛就是索引号了。。如何获取每个函数的索引号？(一般来说XP系统的索引号都不会变)1.使用KD工具直接查看。2.使用OD查看传入EAX的值就是索引号。比如openprocess就是7A=122 ZwOpenProcess3.windbg直接 u ZwOpenProcess 804ff720 b87a000000      mov     eax,7Ah804ff725 8d542404        lea     edx,[esp+4]804ff729 9c              pushfd804ff72a 6a08            push    8804ff72c e850ed0300      call    nt!KeReleaseInStackQueuedSpinLockFromDpcLevel+0x95d (8053e481)804ff731 c21000          ret     10hnt!ZwOpenProcessToken:804ff734 b87b000000      mov     eax,7Bh804ff739 8d542404        lea     edx,[esp+4]如何通过API获取openprocess在系统中的原始地址？（上面查到的时当前的地址，如果被HOOK，跟起源地址可能不一样，所以可以比较这两个值来判断是不是被HOOK了）NTKERNELAPI PVOID MmGetSystemRoutineAddress( IN PUNICODE_STRING SystemRoutineName ); 代码UNICODE_STRING Old_NtOpenProcess;ULONG Old_Addr;Old_Addr=(ULONG)MmGetSystemRoutineAddress(&Old_NtOpenProcess);//取得NtOpenProcess的地址KdPrint(("取得原函数NtOpenProcess的值为 %x",Old_Addr));如何获取当前的SSDT中的地址？RtlInitUnicodeString(&Old_NtOpenProcess,L"NtOpenProcess");//当然 NtOpenProcess一定是一个到处函数代码ULONG SSDT_NtOpenProcess_Cur_Addr; //读取SSDT表中 NtOpenProcess当前地址 KeServiceDescriptorTable // [[KeServiceDescriptorTable]+0x7A*4] __asm{ push ebxpush eaxmov ebx,KeServiceDescriptorTablemov ebx,[ebx] //表的基地址mov eax,0x7ashl eax,2//0x7A*4 //imul eax,eax,4//shl eax,2add ebx,eax//[KeServiceDescriptorTable]+0x7A*4mov ebx,[ebx]        mov SSDT_NtOpenProcess_Cur_Addr,ebxpop  eaxpop  ebx}