[原创]ROOTKIT 核心技术——利用 NT!_MDL（内存描述符链表）突破 SSDT（系统服务描述符表）的只读访问限制 PART I
在
rootkit 与恶意软件开发中有一项基本需求，那就是 hook Windows 内核的系统服务描述符表（下称 SSDT），把该表中的特定系统服务函数替换成我们自己实现的恶意例程；当然，为了确保系统能够正常运作，我们需要事先用一个函数指针保存原始的系统服务，并且在我们恶意例程的逻辑中调用这个函数指针，此后才能进行 hook，否则损坏的内核代码与数据结构将导致一个 BugCheck（俗称的蓝屏）。
尽管 64 位 Windows 引入了像是 PatchGuard 的技术，实时监控关键的内核数据，包括但不限于 SSDT，IDT，GDT。。。等等，保证其完整性，但在 32 系统上修改 SSDT 是经常会遇到的场景，所以本文还是对此做出了介绍。
OS 一般在系统初始化阶段把 SSDT 设定成只读访问，这也是为了避免驱动与其它内核组件无意间改动到它；所以我们的首要任务就是设法绕过这个只读属性。
在此之前，先复习一下与 SSDT 相关的几个数据结构，并解释定位 SSDT 的过程。
我们知道，每个线程的 _KTHREAD 结构中，偏移 0xbc 字节处是一枚叫做 ServiceTable 的泛型指针（亦即 PVOID 或 void*），该字段指向一个全局的数据结构，
叫做 KeServiceDescriptorTable，它就是 SSDT，SSDT 中首个字段又是一枚指针，指向全局的数据结构 KiServiceTable，而后者是一个数组，其内的每个成员都是一枚函数指针，持有相应的系统服务例程入口地址。
有的时候，用言语来描述内核的一些概念过于抽象和词穷，还是来看看下图吧，它很形象地展示了上述关系：
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
