Win10 x64 KeServiceDescriptorTable SSDT 偏移计算理解

2024-01-09 20:48
文章标签 偏移 计算 理解 win10 x64 ssdt keservicedescriptortable

本文主要是介绍Win10 x64 KeServiceDescriptorTable SSDT 偏移计算理解，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

Win10 x64 KeServiceDescriptorTable SSDT 偏移计算理解

  • 引言
  • 站在巨人的肩膀上
    • 实现代码
  • 通用的偏移计算方法

引言

很久没写博客了，水个博客，KeServiceDescriptorTable 和 KeServiceDescriptorTableShadow的原理我就不写了，百度很多，主要这篇写如何定位x64下未导出的KeServiceDescriptorTable。

站在巨人的肩膀上

前辈们在之前已经找到了一个计算公式，通过读取msr寄存器的0xC0000082读取到KiSystemCall64，然后通过内存搜索的方式定位到KeServiceDescriptorTable。
在这里插入图片描述
继续向下就可以看见KiSystemServiceRepeat，我将特征码使用红色框起来，偏移使用绿色框起来。
在这里插入图片描述

实现代码

如果你不理解x64下的RIP相对寻址，可以看看这篇文章。
REX（Register EXtension） 前缀 可以帮助你理解，代码中读取的偏移为什么从下一条指令位置开始计算。

//老的方式
ULONG_PTR GetKeServiceDescriptorTable64()
{PUCHAR      pStartSearchAddress = (PUCHAR)__readmsr(0xC0000082);PUCHAR      pEndSearchAddress = pStartSearchAddress + 0x500;while (++pStartSearchAddress < pEndSearchAddress){/*const unsigned char matchPattern[] = { 0x4C, 0x8D, 0x15 };if (RtlCompareMemory(pStartSearchAddress, matchPattern, 3) == 3){//偏移字节码4为 读取成long保存LONG offset = *(PLONG)(pStartSearchAddress + 3);//此时跳过7位字节码（也就是下次RIP位置） + 偏移 就是 KeServiceDescriptorTablereturn (ULONG_PTR)pStartSearchAddress + 7 + offset;}*///转为ulong指针读取后与0x00FFFFFF 取出低地址三字节//字节码转为小端存储后对比特征码if ((*(PULONG)pStartSearchAddress & 0x00FFFFFF) == 0x158D4C){//偏移字节码4为 读取成long保存LONG offset = *(PLONG)(pStartSearchAddress + 3);//此时跳过7位字节码（也就是下次RIP位置） + 偏移 就是 KeServiceDescriptorTablereturn (ULONG_PTR)pStartSearchAddress + 7 + offset;}}return 0;
}

通用的偏移计算方法

但是在部分x64下(据说是1809之后)，msr寄存器的0xC0000082有时可能读取到的是KiSystemCall64Shadow，虽然有人通过头部的几位字节判断到底读取的是KiSystemCall64Shadow还是KiSystemCall64，但是我在自己的系统查验时，发现字节码和他系统中并不相同，那么有没有一个办法可以通用呢。

同样有牛人mrexodia干了个更彻底的事，暴力搜索从头到尾，可以得到KiSystemServiceStart的下一条指令地址，这就在KiSystemServiceRepeat附近。在这里插入图片描述
https://github.com/mrexodia/TitanHide/blob/master/TitanHide/ssdt.cpp 从这我们可以看见他具体是如何搜索的。他使用了ZwQuerySystemInformation来查询模块进行导出Module[0].ImageBase，并且新的代码将搜索范围从整个模块缩小到了.text段。
我们可以改一改使用LDR来导出ntoskrnl.exe，

typedef struct _LDR_DATA_TABLE_ENTRY {
#ifndef _WIN64LIST_ENTRY InLoadOrderLinks;//这个成员把系统所有加载(可能是停止没被卸载)已经读取到内存中 本驱动的驱动对象就是一个节点LIST_ENTRY InMemoryOrderLinks;//系统已经启动 没有被初始化 没有调用DriverEntry这个历程的时候 通过这个链表进程串接起来LIST_ENTRY InInitializationOrderLinks;//已经调用DriverEntry这个函数的所有驱动程序
#elseLIST_ENTRY64 InLoadOrderLinks;//这个成员把系统所有加载(可能是停止没被卸载)已经读取到内存中 本驱动的驱动对象就是一个节点LIST_ENTRY64 InMemoryOrderLinks;//系统已经启动 没有被初始化 没有调用DriverEntry这个历程的时候 通过这个链表进程串接起来LIST_ENTRY64 InInitializationOrderLinks;//已经调用DriverEntry这个函数的所有驱动程序
#endifULONG_PTR DllBase;ULONG_PTR EntryPoint;//驱动的进入点 DriverEntryULONG SizeOfImage;UNICODE_STRING FullDllName;//模块全路径名UNICODE_STRING BaseDllName;//不带路径的模块名ULONG Flags;USHORT LoadCount;USHORT TlsIndex;union {
#ifndef _WIN64LIST_ENTRY HashLinks;
#elseLIST_ENTRY64 HashLinks;
#endifstruct {ULONG_PTR SectionPointer;ULONG CheckSum;};};union {struct {ULONG TimeDateStamp;};struct {ULONG_PTR LoadedImports;};};
} LDR_DATA_TABLE_ENTRY, *PLDR_DATA_TABLE_ENTRY;ULONG_PTR GetKernelModuleBase(PDRIVER_OBJECT pDriver, PWCHAR wsModuleName,__out PULONG pImageSize)
{UNICODE_STRING moduleName = { 0 };RtlInitUnicodeString(&moduleName, wsModuleName);ULONG_PTR kernelBase = 0;PLDR_DATA_TABLE_ENTRY pEntry = (PLDR_DATA_TABLE_ENTRY)pDriver->DriverSection;ULONG_PTR nextEntry = pEntry->InLoadOrderLinks.Flink;__try {do {if (pEntry->BaseDllName.Buffer != NULL) {if (RtlCompareUnicodeString(&pEntry->BaseDllName, &moduleName, TRUE) == 0) {kernelBase = pEntry->DllBase;if (pImageSize) {*pImageSize = pEntry->SizeOfImage;}break;}}pEntry = (PLDR_DATA_TABLE_ENTRY)pEntry->InLoadOrderLinks.Flink;} while (pEntry->InLoadOrderLinks.Flink != nextEntry);}__except(EXCEPTION_EXECUTE_HANDLER) {return kernelBase;}return kernelBase;
}NTKERNELAPI PIMAGE_NT_HEADERS NTAPI RtlImageNtHeader(_In_ PVOID Base);ULONG_PTR GeneralKeServiceDescriptorTable64(PDRIVER_OBJECT pDriver)
{#ifndef _WIN64//x86 codeUNICODE_STRING routineName;RtlInitUnicodeString(&routineName, L"KeServiceDescriptorTable");return (ULONG_PTR)MmGetSystemRoutineAddress(&routineName);
#else//x64 codeULONG kernelSize = 0;ULONG_PTR kernelBase = (ULONG_PTR)GetKernelModuleBase(pDriver,L"ntoskrnl.exe",&kernelSize);if (kernelBase == 0 || kernelSize == 0)return 0;// Find .text section //需要导入ntimage.hPIMAGE_NT_HEADERS ntHeaders = RtlImageNtHeader((PVOID)kernelBase);PIMAGE_SECTION_HEADER textSection = NULL;PIMAGE_SECTION_HEADER section = IMAGE_FIRST_SECTION(ntHeaders);for (ULONG i = 0; i < ntHeaders->FileHeader.NumberOfSections; ++i){char sectionName[IMAGE_SIZEOF_SHORT_NAME + 1];RtlCopyMemory(sectionName, section->Name, IMAGE_SIZEOF_SHORT_NAME);sectionName[IMAGE_SIZEOF_SHORT_NAME] = '\0';if (strncmp(sectionName, ".text", sizeof(".text") - sizeof(char)) == 0){textSection = section;break;}section++;}if (textSection == NULL)return 0;// Find KiSystemServiceStart in .textconst unsigned char KiSystemServiceStartPattern[] = { 0x8B, 0xF8, 0xC1, 0xEF, 0x07, 0x83, 0xE7, 0x20, 0x25, 0xFF, 0x0F, 0x00, 0x00 };const ULONG signatureSize = sizeof(KiSystemServiceStartPattern);BOOLEAN found = FALSE;ULONG KiSSSOffset;for (KiSSSOffset = 0; KiSSSOffset < textSection->Misc.VirtualSize - signatureSize; KiSSSOffset++){if (RtlCompareMemory(((unsigned char*)kernelBase + textSection->VirtualAddress + KiSSSOffset), KiSystemServiceStartPattern, signatureSize) == signatureSize){found = TRUE;break;}}if (!found)return 0;//address = KiSystemServiceRepeat lea r10, KeServiceDescriptorTableULONG_PTR address = kernelBase + textSection->VirtualAddress + KiSSSOffset + signatureSize;LONG relativeOffset = 0;if ((*(unsigned char*)address == 0x4c) &&(*(unsigned char*)(address + 1) == 0x8d) &&(*(unsigned char*)(address + 2) == 0x15)){relativeOffset = *(LONG*)(address + 3);}if (relativeOffset == 0)return 0;return (ULONG_PTR)(address + relativeOffset + 7);
#endif
}

这篇关于Win10 x64 KeServiceDescriptorTable SSDT 偏移计算理解的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/588386。

相关文章

一文带你理解Python中import机制与importlib的妙用

一文带你理解Python中import机制与importlib的妙用

《一文带你理解Python中import机制与importlib的妙用》在Python编程的世界里,import语句是开发者最常用的工具之一,它就像一把钥匙,打开了通往各种功能和库的大门,下面就跟随小... 目录一、python import机制概述1.1 import语句的基本用法1.2 模块缓存机制1.
阅读更多...
使用C#代码计算数学表达式实例

使用C#代码计算数学表达式实例

《使用C#代码计算数学表达式实例》这段文字主要讲述了如何使用C#语言来计算数学表达式,该程序通过使用Dictionary保存变量,定义了运算符优先级,并实现了EvaluateExpression方法来... 目录C#代码计算数学表达式该方法很长，因此我将分段描述下面的代码片段显示了下一步以下代码显示该方法如
阅读更多...
深入理解C语言的void*

深入理解C语言的void*

《深入理解C语言的void*》本文主要介绍了C语言的void*,包括它的任意性、编译器对void*的类型检查以及需要显式类型转换的规则,具有一定的参考价值,感兴趣的可以了解一下... 目录一、void* 的类型任意性二、编译器对 void* 的类型检查三、需要显式类型转换占用的字节四、总结一、void* 的
阅读更多...
深入理解Redis大key的危害及解决方案

深入理解Redis大key的危害及解决方案

《深入理解Redis大key的危害及解决方案》本文主要介绍了深入理解Redis大key的危害及解决方案,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着... 目录一、背景二、什么是大key三、大key评价标准四、大key 产生的原因与场景五、大key影响与危
阅读更多...
深入理解C++ 空类大小

深入理解C++ 空类大小

《深入理解C++空类大小》本文主要介绍了C++空类大小,规定空类大小为1字节,主要是为了保证对象的唯一性和可区分性,满足数组元素地址连续的要求,下面就来了解一下... 目录1. 保证对象的唯一性和可区分性2. 满足数组元素地址连续的要求3. 与C++的对象模型和内存管理机制相适配查看类对象内存在C++中，规
阅读更多...
如何用Java结合经纬度位置计算目标点的日出日落时间详解

如何用Java结合经纬度位置计算目标点的日出日落时间详解

《如何用Java结合经纬度位置计算目标点的日出日落时间详解》这篇文章主详细讲解了如何基于目标点的经纬度计算日出日落时间,提供了在线API和Java库两种计算方法,并通过实际案例展示了其应用,需要的朋友... 目录前言一、应用示例1、天安门升旗时间2、湖南省日出日落信息二、Java日出日落计算1、在线API2
阅读更多...
认识、理解、分类——acm之搜索

认识、理解、分类——acm之搜索

普通搜索方法有两种：1、广度优先搜索；2、深度优先搜索； 更多搜索方法： 3、双向广度优先搜索； 4、启发式搜索（包括A*算法等）； 搜索通常会用到的知识点：状态压缩（位压缩，利用hash思想压缩）。
阅读更多...
【生成模型系列（初级）】嵌入（Embedding）方程——自然语言处理的数学灵魂【通俗理解】

【生成模型系列（初级）】嵌入（Embedding）方程——自然语言处理的数学灵魂【通俗理解】

【通俗理解】嵌入（Embedding）方程——自然语言处理的数学灵魂 关键词提炼 #嵌入方程 #自然语言处理 #词向量 #机器学习 #神经网络 #向量空间模型 #Siri #Google翻译 #AlexNet 第一节：嵌入方程的类比与核心概念【尽可能通俗】 嵌入方程可以被看作是自然语言处理中的“翻译机”，它将文本中的单词或短语转换成计算机能够理解的数学形式，即向量。 正如翻译机将一种语言
阅读更多...
poj 1113 凸包+简单几何计算

poj 1113 凸包+简单几何计算

题意： 给N个平面上的点，现在要在离点外L米处建城墙，使得城墙把所有点都包含进去且城墙的长度最短。 解析： 韬哥出的某次训练赛上A出的第一道计算几何，算是大水题吧。 用convexhull算法把凸包求出来，然后加加减减就A了。 计算见下图： 好久没玩画图了啊好开心。 代码： #include <iostream>#include <cstdio>#inclu
阅读更多...
uva 1342 欧拉定理（计算几何模板）

uva 1342 欧拉定理（计算几何模板）

题意： 给几个点，把这几个点用直线连起来，求这些直线把平面分成了几个。 解析： 欧拉定理： 顶点数 + 面数 - 边数= 2。 代码： #include <iostream>#include <cstdio>#include <cstdlib>#include <algorithm>#include <cstring>#include <cmath>#inc
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2