1、麦洛克菲内核开发第五课HOOK麦洛克菲周扬荣麦洛克菲 提纲n SSDTn INLINEn IRPn SYSENTERn IDTn OBJECTn R3n 等等SSDT HOOKAPI 流程kernel.dlluser32.dllntdll.dllAPIIRP应用层内核层数据命令封装disk.sysntfs.sysntoskrnl.exeZW与 NT函数（ 1）n ntdll.dllq Zw*与 nt*函数n ntoskrnl.exeq Zw*与 nt*函数Ntdll.dllNtoskrnl.exeNt*Zw*Nt*Zw*ZW与 NT函数（ 2）n 区别：n Ntdll.dll中：完全一样n N
2、toskrnl.exe中：q Zw*nt*，即 nt函数更底层q Zw*函数会把 PreviousMode设置为 KernelMode 然后再调用Nt*函数，因此在 Nt*函数中就不会进行参数检查。而如果直接调用 Nt*函数的话 , 必须自己将 PreviousMode设置为KernelMode,否则 PreviousMode很可能仍然是 UserMode, 这样的话 Nt*函数就会认为对它的调用来自用户态 ,从而做一些检查 ,这时就会产生问题了 .q 因此要自己调用 Nt*的话必须先将 PreviousMode设为KernelModeSSDT表索引 1 索引 2 索引 3 索引 4 索引 5
3、 。 索引 N服务 1 服务 2 服务 3 服务 4 服务 5 。 服务 NAPIKernel32.dllNtdll.dllsysenterZw*Nt*Uf nt!ZwReadFile:.text:00406508 mov eax, 0B7h.text:0040650D lea edx, esp+FileHandle.text:00406511 pushf.text:00406512 push 8.text:00406514 call _KiSystemService.text:00406519 retn 24h.text:00406519 _ZwReadFile36 endpAPI调用流程n
4、 Ntdll.dll 中的 API 是一个简单的包装函数。n 当 Kernel32.dll 中的 API 通过 Ntdll.dll 时，会完成参数的检查 再调用一个中断 (int 2Eh 或者 SysEnter 指令 )，从而实现从 Ring3 进入 Ring0 层n 并且将所要调用的 服务号 (也就是在 SSDT 数组中的索引值 )存放到寄存器 EAX 中n 再根据存放在 EAX 中的索引值来在 SSDT 数组中调用指定的服务即 Nt*系列函数SSDT表结构n 结构：#pragma pack(1)typedef struct ServiceDescriptorEntry unsigned i
5、nt *ServiceTableBase;unsigned int *ServiceCounterTableBase; unsigned int NumberOfServices;unsigned char *ParamTableBase; ServiceDescriptorTableEntry_t,*PServiceDescriptorTableEntry_t;#pragma pack()n 导出：_declspec(dllimport) ServiceDescriptorTableEntry_t KeServiceDescriptorTable;n 引用：#define SYSTEMSER
6、VICE(_function) KeServiceDescriptorTable.ServiceTableBase *(PULONG)(PUCHAR)_function+1)#define SDT SYSTEMSERVICE要 HOOK的 APItypedef NTSTATUS (*ZWCREATESECTION)(OUT PHANDLE SectionHandle,IN ULONG DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes OPTIONAL,IN PLARGE_INTEGER MaximumSize OPTIONAL,IN UL
7、ONG PageAttributess,IN ULONG SectionAttributes,IN HANDLE FileHandle OPTIONAL );static ZWCREATESECTION OldZwCreateSection;NTSTATUS NTAPI HOOK_NtCreateSection(PHANDLE SectionHandle,ACCESS_MASK DesiredAccess,POBJECT_ATTRIBUTES ObjectAttributes,PLARGE_INTEGER SectionSize,ULONG Protect,ULONG Attributes,HANDLE FileHandle) return OldZwCreateSection(SectionHandle,DesiredAccess,ObjectAttributes,SectionSize,Protect,Attributes,FileHandle);
