Win10 x64 KeServiceDescriptorTable SSDT 偏移计算理解

2024-01-09 20:48
文章标签 偏移 计算 理解 win10 x64 ssdt keservicedescriptortable

本文主要是介绍Win10 x64 KeServiceDescriptorTable SSDT 偏移计算理解，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

Win10 x64 KeServiceDescriptorTable SSDT 偏移计算理解

  • 引言
  • 站在巨人的肩膀上
    • 实现代码
  • 通用的偏移计算方法

引言

很久没写博客了，水个博客，KeServiceDescriptorTable 和 KeServiceDescriptorTableShadow的原理我就不写了，百度很多，主要这篇写如何定位x64下未导出的KeServiceDescriptorTable。

站在巨人的肩膀上

前辈们在之前已经找到了一个计算公式，通过读取msr寄存器的0xC0000082读取到KiSystemCall64，然后通过内存搜索的方式定位到KeServiceDescriptorTable。
在这里插入图片描述
继续向下就可以看见KiSystemServiceRepeat，我将特征码使用红色框起来，偏移使用绿色框起来。
在这里插入图片描述

实现代码

如果你不理解x64下的RIP相对寻址，可以看看这篇文章。
REX（Register EXtension） 前缀 可以帮助你理解，代码中读取的偏移为什么从下一条指令位置开始计算。

//老的方式
ULONG_PTR GetKeServiceDescriptorTable64()
{PUCHAR      pStartSearchAddress = (PUCHAR)__readmsr(0xC0000082);PUCHAR      pEndSearchAddress = pStartSearchAddress + 0x500;while (++pStartSearchAddress < pEndSearchAddress){/*const unsigned char matchPattern[] = { 0x4C, 0x8D, 0x15 };if (RtlCompareMemory(pStartSearchAddress, matchPattern, 3) == 3){//偏移字节码4为 读取成long保存LONG offset = *(PLONG)(pStartSearchAddress + 3);//此时跳过7位字节码（也就是下次RIP位置） + 偏移 就是 KeServiceDescriptorTablereturn (ULONG_PTR)pStartSearchAddress + 7 + offset;}*///转为ulong指针读取后与0x00FFFFFF 取出低地址三字节//字节码转为小端存储后对比特征码if ((*(PULONG)pStartSearchAddress & 0x00FFFFFF) == 0x158D4C){//偏移字节码4为 读取成long保存LONG offset = *(PLONG)(pStartSearchAddress + 3);//此时跳过7位字节码（也就是下次RIP位置） + 偏移 就是 KeServiceDescriptorTablereturn (ULONG_PTR)pStartSearchAddress + 7 + offset;}}return 0;
}

通用的偏移计算方法

但是在部分x64下(据说是1809之后)，msr寄存器的0xC0000082有时可能读取到的是KiSystemCall64Shadow，虽然有人通过头部的几位字节判断到底读取的是KiSystemCall64Shadow还是KiSystemCall64，但是我在自己的系统查验时，发现字节码和他系统中并不相同，那么有没有一个办法可以通用呢。

同样有牛人mrexodia干了个更彻底的事，暴力搜索从头到尾，可以得到KiSystemServiceStart的下一条指令地址，这就在KiSystemServiceRepeat附近。在这里插入图片描述
https://github.com/mrexodia/TitanHide/blob/master/TitanHide/ssdt.cpp 从这我们可以看见他具体是如何搜索的。他使用了ZwQuerySystemInformation来查询模块进行导出Module[0].ImageBase，并且新的代码将搜索范围从整个模块缩小到了.text段。
我们可以改一改使用LDR来导出ntoskrnl.exe，

typedef struct _LDR_DATA_TABLE_ENTRY {
#ifndef _WIN64LIST_ENTRY InLoadOrderLinks;//这个成员把系统所有加载(可能是停止没被卸载)已经读取到内存中 本驱动的驱动对象就是一个节点LIST_ENTRY InMemoryOrderLinks;//系统已经启动 没有被初始化 没有调用DriverEntry这个历程的时候 通过这个链表进程串接起来LIST_ENTRY InInitializationOrderLinks;//已经调用DriverEntry这个函数的所有驱动程序
#elseLIST_ENTRY64 InLoadOrderLinks;//这个成员把系统所有加载(可能是停止没被卸载)已经读取到内存中 本驱动的驱动对象就是一个节点LIST_ENTRY64 InMemoryOrderLinks;//系统已经启动 没有被初始化 没有调用DriverEntry这个历程的时候 通过这个链表进程串接起来LIST_ENTRY64 InInitializationOrderLinks;//已经调用DriverEntry这个函数的所有驱动程序
#endifULONG_PTR DllBase;ULONG_PTR EntryPoint;//驱动的进入点 DriverEntryULONG SizeOfImage;UNICODE_STRING FullDllName;//模块全路径名UNICODE_STRING BaseDllName;//不带路径的模块名ULONG Flags;USHORT LoadCount;USHORT TlsIndex;union {
#ifndef _WIN64LIST_ENTRY HashLinks;
#elseLIST_ENTRY64 HashLinks;
#endifstruct {ULONG_PTR SectionPointer;ULONG CheckSum;};};union {struct {ULONG TimeDateStamp;};struct {ULONG_PTR LoadedImports;};};
} LDR_DATA_TABLE_ENTRY, *PLDR_DATA_TABLE_ENTRY;ULONG_PTR GetKernelModuleBase(PDRIVER_OBJECT pDriver, PWCHAR wsModuleName,__out PULONG pImageSize)
{UNICODE_STRING moduleName = { 0 };RtlInitUnicodeString(&moduleName, wsModuleName);ULONG_PTR kernelBase = 0;PLDR_DATA_TABLE_ENTRY pEntry = (PLDR_DATA_TABLE_ENTRY)pDriver->DriverSection;ULONG_PTR nextEntry = pEntry->InLoadOrderLinks.Flink;__try {do {if (pEntry->BaseDllName.Buffer != NULL) {if (RtlCompareUnicodeString(&pEntry->BaseDllName, &moduleName, TRUE) == 0) {kernelBase = pEntry->DllBase;if (pImageSize) {*pImageSize = pEntry->SizeOfImage;}break;}}pEntry = (PLDR_DATA_TABLE_ENTRY)pEntry->InLoadOrderLinks.Flink;} while (pEntry->InLoadOrderLinks.Flink != nextEntry);}__except(EXCEPTION_EXECUTE_HANDLER) {return kernelBase;}return kernelBase;
}NTKERNELAPI PIMAGE_NT_HEADERS NTAPI RtlImageNtHeader(_In_ PVOID Base);ULONG_PTR GeneralKeServiceDescriptorTable64(PDRIVER_OBJECT pDriver)
{#ifndef _WIN64//x86 codeUNICODE_STRING routineName;RtlInitUnicodeString(&routineName, L"KeServiceDescriptorTable");return (ULONG_PTR)MmGetSystemRoutineAddress(&routineName);
#else//x64 codeULONG kernelSize = 0;ULONG_PTR kernelBase = (ULONG_PTR)GetKernelModuleBase(pDriver,L"ntoskrnl.exe",&kernelSize);if (kernelBase == 0 || kernelSize == 0)return 0;// Find .text section //需要导入ntimage.hPIMAGE_NT_HEADERS ntHeaders = RtlImageNtHeader((PVOID)kernelBase);PIMAGE_SECTION_HEADER textSection = NULL;PIMAGE_SECTION_HEADER section = IMAGE_FIRST_SECTION(ntHeaders);for (ULONG i = 0; i < ntHeaders->FileHeader.NumberOfSections; ++i){char sectionName[IMAGE_SIZEOF_SHORT_NAME + 1];RtlCopyMemory(sectionName, section->Name, IMAGE_SIZEOF_SHORT_NAME);sectionName[IMAGE_SIZEOF_SHORT_NAME] = '\0';if (strncmp(sectionName, ".text", sizeof(".text") - sizeof(char)) == 0){textSection = section;break;}section++;}if (textSection == NULL)return 0;// Find KiSystemServiceStart in .textconst unsigned char KiSystemServiceStartPattern[] = { 0x8B, 0xF8, 0xC1, 0xEF, 0x07, 0x83, 0xE7, 0x20, 0x25, 0xFF, 0x0F, 0x00, 0x00 };const ULONG signatureSize = sizeof(KiSystemServiceStartPattern);BOOLEAN found = FALSE;ULONG KiSSSOffset;for (KiSSSOffset = 0; KiSSSOffset < textSection->Misc.VirtualSize - signatureSize; KiSSSOffset++){if (RtlCompareMemory(((unsigned char*)kernelBase + textSection->VirtualAddress + KiSSSOffset), KiSystemServiceStartPattern, signatureSize) == signatureSize){found = TRUE;break;}}if (!found)return 0;//address = KiSystemServiceRepeat lea r10, KeServiceDescriptorTableULONG_PTR address = kernelBase + textSection->VirtualAddress + KiSSSOffset + signatureSize;LONG relativeOffset = 0;if ((*(unsigned char*)address == 0x4c) &&(*(unsigned char*)(address + 1) == 0x8d) &&(*(unsigned char*)(address + 2) == 0x15)){relativeOffset = *(LONG*)(address + 3);}if (relativeOffset == 0)return 0;return (ULONG_PTR)(address + relativeOffset + 7);
#endif
}

这篇关于Win10 x64 KeServiceDescriptorTable SSDT 偏移计算理解的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/588386。

相关文章

认识、理解、分类——acm之搜索

认识、理解、分类——acm之搜索

普通搜索方法有两种：1、广度优先搜索；2、深度优先搜索； 更多搜索方法： 3、双向广度优先搜索； 4、启发式搜索（包括A*算法等）； 搜索通常会用到的知识点：状态压缩（位压缩，利用hash思想压缩）。
阅读更多...
【生成模型系列（初级）】嵌入（Embedding）方程——自然语言处理的数学灵魂【通俗理解】

【生成模型系列（初级）】嵌入（Embedding）方程——自然语言处理的数学灵魂【通俗理解】

【通俗理解】嵌入（Embedding）方程——自然语言处理的数学灵魂 关键词提炼 #嵌入方程 #自然语言处理 #词向量 #机器学习 #神经网络 #向量空间模型 #Siri #Google翻译 #AlexNet 第一节：嵌入方程的类比与核心概念【尽可能通俗】 嵌入方程可以被看作是自然语言处理中的“翻译机”，它将文本中的单词或短语转换成计算机能够理解的数学形式，即向量。 正如翻译机将一种语言
阅读更多...
poj 1113 凸包+简单几何计算

poj 1113 凸包+简单几何计算

题意： 给N个平面上的点，现在要在离点外L米处建城墙，使得城墙把所有点都包含进去且城墙的长度最短。 解析： 韬哥出的某次训练赛上A出的第一道计算几何，算是大水题吧。 用convexhull算法把凸包求出来，然后加加减减就A了。 计算见下图： 好久没玩画图了啊好开心。 代码： #include <iostream>#include <cstdio>#inclu
阅读更多...
uva 1342 欧拉定理（计算几何模板）

uva 1342 欧拉定理（计算几何模板）

题意： 给几个点，把这几个点用直线连起来，求这些直线把平面分成了几个。 解析： 欧拉定理： 顶点数 + 面数 - 边数= 2。 代码： #include <iostream>#include <cstdio>#include <cstdlib>#include <algorithm>#include <cstring>#include <cmath>#inc
阅读更多...
uva 11178 计算集合模板题

uva 11178 计算集合模板题

题意： 求三角形行三个角三等分点射线交出的内三角形坐标。 代码： #include <iostream>#include <cstdio>#include <cstdlib>#include <algorithm>#include <cstring>#include <cmath>#include <stack>#include <vector>#include <
阅读更多...
XTU 1237 计算几何

XTU 1237 计算几何

题面： Magic Triangle Problem Description: Huangriq is a respectful acmer in ACM team of XTU because he brought the best place in regional contest in history of XTU. Huangriq works in a big compa
阅读更多...
【C++高阶】C++类型转换全攻略：深入理解并高效应用

【C++高阶】C++类型转换全攻略：深入理解并高效应用

📝个人主页🌹：Eternity._ ⏩收录专栏⏪：C++ “ 登神长阶 ” 🤡往期回顾🤡：C++ 智能指针 🌹🌹期待您的关注 🌹🌹 ❀C++的类型转换 📒1. C语言中的类型转换📚2. C++强制类型转换⛰️static_cast🌞reinterpret_cast⭐const_cast🍁dynamic_cast 📜3. C++强制类型转换的原因📝
阅读更多...
深入理解RxJava：响应式编程的现代方式

深入理解RxJava：响应式编程的现代方式

在当今的软件开发世界中，异步编程和事件驱动的架构变得越来越重要。RxJava，作为响应式编程（Reactive Programming）的一个流行库，为Java和Android开发者提供了一种强大的方式来处理异步任务和事件流。本文将深入探讨RxJava的核心概念、优势以及如何在实际项目中应用它。 文章目录 💯 什么是RxJava？💯 响应式编程的优势💯 RxJava的核心概念
阅读更多...
如何通俗理解注意力机制？

如何通俗理解注意力机制？

1、注意力机制（Attention Mechanism）是机器学习和深度学习中一种模拟人类注意力的方法，用于提高模型在处理大量信息时的效率和效果。通俗地理解，它就像是在一堆信息中找到最重要的部分，把注意力集中在这些关键点上，从而更好地完成任务。以下是几个简单的比喻来帮助理解注意力机制： 2、寻找重点：想象一下，你在阅读一篇文章的时候，有些段落特别重要，你会特别注意这些段落，反复阅读，而对其他部分
阅读更多...
深入理解数据库的 4NF：多值依赖与消除数据异常

深入理解数据库的 4NF：多值依赖与消除数据异常

在数据库设计中， "范式" 是一个常常被提到的重要概念。许多初学者在学习数据库设计时，经常听到第一范式（1NF）、第二范式（2NF）、第三范式（3NF）以及 BCNF（Boyce-Codd范式）。这些范式都旨在通过消除数据冗余和异常来优化数据库结构。然而，当我们谈到 4NF（第四范式）时，事情变得更加复杂。本文将带你深入了解 多值依赖 和 4NF，帮助你在数据库设计中消除更高级别的异常。 什么是
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2