[原创]新手学ssdt_hook

看了梦无极的ssdt_hook教程，虽然大牛讲得很细，但是很多细节还是要自己去体会，才会更加深入。在这里我总结一下我的分析过程，若有不对的地方，希望大家指出来。
首先我们应该认识 ssdt是什么？从梦无极的讲解过程中，我联想到了这样一个场景：
古时候有一户人家，姓李，住在皇宫外面，他们家有一个女儿进皇宫当宫女。有一天，李家的老大爷要送东西给他女儿，我们假定他可以进皇宫，于是就开始了这样一个过程。进皇宫只有一条路，那就是走正门，于是李大爷带着东西从家走到了城外，进皇宫前必须从这门口进去，通过一条路后才能到达皇宫，守门的侍卫挺友善的，把老大爷的东西让一个侍卫拿到一个地方去放着，然后叫了一个手下带着老大爷往里走，当走到皇宫门口时，守城门的侍卫就离开了，让另一个人带着老大爷继续走，然后老大爷就进了皇宫，进了皇宫后，有一个侍卫来问李大爷的女儿是在哪边，这里皇宫只有东边和西边。于是李大爷跟他说在东边，于是侍卫把李大爷带到了东边，然后见到一个总管，李大爷给出女儿是几号房的，总管根据一个皇室总表，找到了李大爷的女儿住址，于是李大爷就找到了他女儿，总管还告诉他，你带的东西可以在哪 里去取。
这里拿OpenProcess函数比作李大爷，NtOpenProcess比作李大爷的女儿，OpenProcess通过普通的调用规则进行调用来到城外，再通过ZwOpenProcess进行接见，带着它往皇宫走，然后遇到KiFastSystemCall，带他进入了皇宫。进了ring0后，需要知道是ssdt还是shawssdt，于是分东边的西边，我们假定ssdt就是东西。于是从东边 的路走过去，遇到总管KiFastCallEntry，给出函数偏移号，总管手里的皇室总表就是ssdt这个数据结构，于是找到了NtOPenProcess，而OpenProcess的参数即李大爷带的东西在ParamTableBase这里去找。
好吧，故事讲完了，我们继续分析。
ssdt竟然是一个数组，那么我们就需要先得到这个数组的首地址，于是这个结构就出来了。

typedef struct ServiceDescriptorEntry {

	unsigned int *ServiceTableBase;

	unsigned int *ServiceCounterTableBase; 

	unsigned int NumberOfServices;

	unsigned char *ParamTableBase;

} ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;

这个结构只需要知道两个参数的作用，一个是ServiceTableBase，这个参数是ssdt数组的基址，有了它，我们再给出具体函数的偏移，就能找到正确的函数地址了。
另一个是NumberOfService，这个是ssdt这个数组的最大值，也就是ssdt中函数的个数。
有了这个结构过后，按照偏移就可以找到想要Hook的函数的地址了。但是hook之前，需要修改内核保护，否则会无情蓝屏。

void PageProtectOff()

{

	__asm{

		cli

			mov  eax,cr0

			and  eax,not 10000h

			mov  cr0,eax

		}

}

Cli表示让其他人都休息，看我一个人表演。
Cro这个寄存器就保存了内核保护的标志位，用 10000h取反再和他进行与运算，就使标志位从1变成0了，就可以修改内核了。当然，完成后得修改回来，否则会出现这样的情况，你在上面跳舞，别人看你表演，你跳完了，别人还一直盯着舞台，以为你还在表演。

void PageProtectOn()

{

	__asm{

		mov  eax,cr0

		or   eax,10000h

		mov  cr0,eax

		sti

	}

}

修改了内核保护后，就可以把自己定义的函数地址写在ssdt里面了吗？当然可以，但是为了系统安全，我们需要把之前的函数地址保存下来，在我们卸载驱动的时候恢复回去，以免导致系统不能正常工作。
还是以OpenProcess函数作参考 吧。
在我电脑里这个函数的偏移是122，如图：

NTSTATUS ssdt_hook()

{

	O_NtOpenProcess=KeServiceDescriptorTable.ServiceTableBase[122];

	PageProtectOff();

	KeServiceDescriptorTable.ServiceTableBase[122]=(unsigned int)MyNtOpenProcess;

	PageProtectOn();

	return STATUS_SUCCESS;

}

为了使驱动完成指定的任务，比如我们要保护记事本这个进程不被OpenProcess打开，于是我们在自己的NtOpenProcess函数中进行过滤，那么该怎样进行过滤呢？来看看NtOpenProcess函数的声明

NTSTATUS MyNtOpenProcess (

	__out PHANDLE ProcessHandle,

	__in ACCESS_MASK DesiredAccess,

	__in POBJECT_ATTRIBUTES ObjectAttributes,

	__in_opt PCLIENT_ID ClientId

	)

这里有一个参数：ClientId，这个按我的理解是目标进程的一个结构，目标进程也就是其它进程想到打开的进程。这个结构体是这样定义的

typedef struct _CLIENT_ID {

    HANDLE UniqueProcess;

    HANDLE UniqueThread;

} CLIENT_ID;

我们可以通过他的第一个成员UniqueProcess找到该进程的进程对象，就是eprocess，那么该怎么得到eprocess这个结构体呢，于是有了下面这个函数。

NTSTATUS

	PsLookupProcessByProcessId(

	IN HANDLE ProcessId,

	OUT PEPROCESS *Process

	);

EPROCESS结构体打开是这个样子的

lkd> dt _eprocess

ntdll!_EPROCESS

   +0x000 Pcb              : _KPROCESS

   +0x06c ProcessLock      : _EX_PUSH_LOCK

   +0x070 CreateTime       : _LARGE_INTEGER

   +0x078 ExitTime         : _LARGE_INTEGER

   +0x080 RundownProtect   : _EX_RUNDOWN_REF

   +0x084 UniqueProcessId  : Ptr32 Void

   +0x088 ActiveProcessLinks : _LIST_ENTRY

   +0x090 QuotaUsage       : [3] Uint4B

   +0x09c QuotaPeak        : [3] Uint4B

   +0x0a8 CommitCharge     : Uint4B

   +0x0ac PeakVirtualSize  : Uint4B

   +0x0b0 VirtualSize      : Uint4B

   +0x0b4 SessionProcessLinks : _LIST_ENTRY

   +0x0bc DebugPort        : Ptr32 Void

   +0x0c0 ExceptionPort    : Ptr32 Void

   +0x0c4 ObjectTable      : Ptr32 _HANDLE_TABLE

   +0x0c8 Token            : _EX_FAST_REF

   +0x0cc WorkingSetLock   : _FAST_MUTEX

   +0x0ec WorkingSetPage   : Uint4B

   +0x0f0 AddressCreationLock : _FAST_MUTEX

   +0x110 HyperSpaceLock   : Uint4B

   +0x114 ForkInProgress   : Ptr32 _ETHREAD

   +0x118 HardwareTrigger  : Uint4B

   +0x11c VadRoot          : Ptr32 Void

   +0x120 VadHint          : Ptr32 Void

   +0x124 CloneRoot        : Ptr32 Void

   +0x128 NumberOfPrivatePages : Uint4B

   +0x12c NumberOfLockedPages : Uint4B

   +0x130 Win32Process     : Ptr32 Void

   +0x134 Job              : Ptr32 _EJOB

   +0x138 SectionObject    : Ptr32 Void

   +0x13c SectionBaseAddress : Ptr32 Void

   +0x140 QuotaBlock       : Ptr32 _EPROCESS_QUOTA_BLOCK

   +0x144 WorkingSetWatch  : Ptr32 _PAGEFAULT_HISTORY

   +0x148 Win32WindowStation : Ptr32 Void

   +0x14c InheritedFromUniqueProcessId : Ptr32 Void

   +0x150 LdtInformation   : Ptr32 Void

   +0x154 VadFreeHint      : Ptr32 Void

   +0x158 VdmObjects       : Ptr32 Void

   +0x15c DeviceMap        : Ptr32 Void

   +0x160 PhysicalVadList  : _LIST_ENTRY

   +0x168 PageDirectoryPte : _HARDWARE_PTE_X86

   +0x168 Filler           : Uint8B

   +0x170 Session          : Ptr32 Void

   +0x174 ImageFileName    : [16] UChar

   +0x184 JobLinks         : _LIST_ENTRY

   +0x18c LockedPagesList  : Ptr32 Void

   +0x190 ThreadListHead   : _LIST_ENTRY

   +0x198 SecurityPort     : Ptr32 Void

   +0x19c PaeTop           : Ptr32 Void

得到进程的EPROCESS结构体后，就可以用windbg找到基中的imagebase成员，在我电脑里是偏移0x174,这个成员就表示为目标进程的名字，我们可以通过这个名字与想要保护的进程的名字进行比较，如果是一样的，则直接返回打开不成功，这样就保护到了我们想要保护的进程。

	if(ProtectProcess(ClientId->UniqueProcess,"notepad.exe"))

	{

		KdPrint(("hooked %s",(char *)PsGetCurrentProcess()+0x174));

		return STATUS_UNSUCCESSFUL;

	}

status=PsLookupProcessByProcessId(ProcessId,&process_obj);

	if(!NT_SUCCESS(status))

	{

		KdPrint(("error code:%X---ProcessId:%d",status,ProcessId));

		return FALSE;

	}

	if(!strcmp((char *)process_obj+0x174,str_ProtectObjName))

	{

		ObDereferenceObject(process_obj);

		return TRUE;

	}

为了让其它进程不受影响，我们在处理完这些东西后，应该再用原来的函数基址进行正常调用，使不被保护的进程能够正常工作

	

//KdPrint(("Hook Success!"));

	return ((MYNTOPENPROCESS)O_NtOpenProcess)(ProcessHandle,

		DesiredAccess,

		ObjectAttributes,

		ClientId);

}

写到这里我们的任务就完成了，但是为了让我们驱动卸载后，系统还能正常工作，我们需要把保存到的以前的函数地址还原到ssdt结构中，于是有了下面的代码 。

void UnHookSsdt()

{

	PageProtectOff();

	KeServiceDescriptorTable.ServiceTableBase[122]=O_NtOpenProcess;

	PageProtectOn();

}

好了，分析就到这里，写完这篇日志，我又对ssdt_hook加深了印象。
介于零散的代码大家看起来很乱， 这里我把整 个代码 都 发出来，就容易学习了。

#include "ntddk.h"

#pragma pack(1)

typedef struct ServiceDescriptorEntry {

	unsigned int *ServiceTableBase;

	unsigned int *ServiceCounterTableBase; 

	unsigned int NumberOfServices;

	unsigned char *ParamTableBase;

} ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;

#pragma pack()

NTSTATUS

	PsLookupProcessByProcessId(

	IN HANDLE ProcessId,

	OUT PEPROCESS *Process

	);

__declspec(dllimport) ServiceDescriptorTableEntry_t KeServiceDescriptorTable;

typedef NTSTATUS(*MYNTOPENPROCESS)(

	OUT PHANDLE             ProcessHandle,

	IN ACCESS_MASK          AccessMask,

	IN POBJECT_ATTRIBUTES   ObjectAttributes,

	IN PCLIENT_ID           ClientId );//定义一个指针函数，用于下面对O_NtOpenProcess进行强制转换

ULONG O_NtOpenProcess;

BOOLEAN ProtectProcess(HANDLE ProcessId,char *str_ProtectObjName)

{

	NTSTATUS status;

	PEPROCESS process_obj;

	if(!MmIsAddressValid(str_ProtectObjName))//这个条件是用来判断目标进程名是否有效

	{

		return FALSE;

	}

	if(ProcessId==0)//这个条件是用来排除System Idle Process进程的干扰

	{

		return FALSE;

	}

	status=PsLookupProcessByProcessId(ProcessId,&process_obj);//这句用来获取目标进程的EPROCESS结构

	if(!NT_SUCCESS(status))

	{

		KdPrint(("我错了，这个是错误号:%X---这个是进程ID:%d",status,ProcessId));

		return FALSE;

	}

	if(!strcmp((char *)process_obj+0x174,str_ProtectObjName))//进行比较

	{

		ObDereferenceObject(process_obj);//对象计数器减1，为了恢复对象管理器计数，便于回收

		return TRUE;

	}

	ObDereferenceObject(process_obj);

	return FALSE;

}

NTSTATUS MyNtOpenProcess (

	__out PHANDLE ProcessHandle,

	__in ACCESS_MASK DesiredAccess,

	__in POBJECT_ATTRIBUTES ObjectAttributes,

	__in_opt PCLIENT_ID ClientId

	)

{

	//KdPrint(("%s",(char *)PsGetCurrentProcess()+0x174));

	if(ProtectProcess(ClientId->UniqueProcess,"calc.exe"))

	{

		KdPrint(("%s想打开我吗？不可能。哈哈。。",(char *)PsGetCurrentProcess()+0x174));

		return STATUS_UNSUCCESSFUL;

	}

	//KdPrint(("Hook Success!"));

	return ((MYNTOPENPROCESS)O_NtOpenProcess)(ProcessHandle,//处理完自己的任务后，调用原来的函数，让其它进程正常工作

		DesiredAccess,

		ObjectAttributes,

		ClientId);

}

void PageProtectOff()//关闭页面保护

{

	__asm{

		cli

			mov  eax,cr0

			and  eax,not 10000h

			mov  cr0,eax

		}

}

void PageProtectOn()//打开页面保护

{

	__asm{

		mov  eax,cr0

		or   eax,10000h

		mov  cr0,eax

		sti

	}

}

void UnHookSsdt()

{

	PageProtectOff();

	KeServiceDescriptorTable.ServiceTableBase[122]=O_NtOpenProcess;//恢复ssdt中原来的函数地址

	PageProtectOn();

}

NTSTATUS ssdt_hook()

{

	//int i;

	//for(i=0;i<KeServiceDescriptorTable.NumberOfServices;i++)

	//{

	//	KdPrint(("NumberOfService[%d]-------%x",i,KeServiceDescriptorTable.ServiceTableBase[i]));

	//}

	O_NtOpenProcess=KeServiceDescriptorTable.ServiceTableBase[122];//保存原来的函数地址

	PageProtectOff();

	//将原来ssdt中所要hook的函数地址换成我们自己的函数地址

	KeServiceDescriptorTable.ServiceTableBase[122]=(unsigned int)MyNtOpenProcess;

	PageProtectOn();

	return STATUS_SUCCESS;

}

void DriverUnload(PDRIVER_OBJECT pDriverObject)

{

	UnHookSsdt();

	KdPrint(("Driver Unload Success !"));

}

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObject,PUNICODE_STRING pRegsiterPath)

{

	DbgPrint("This is My First Driver!");

	ssdt_hook();

	pDriverObject->DriverUnload = DriverUnload;

	return STATUS_SUCCESS;

}

附件中的工程文件是我用vs2010配置好的，如果是新手的话，只需要在电脑里安装vs2010,和winddk，这里winddk我用的是7600.16385.1这个版本，安装在C盘，就可以直接编译我的这个工程 文件了，不需要再设置那些麻烦的东西。

上传的附件

2.png
3.png
ssdt_hook.rar