读取无保护的SSDT表中的NtOpenProcess函数的当前地址

// 无技术含量，是抄来的，驱动已入门的请飘过

/************************************************************************

* 文件名称:Driver.h                                                 
* 作    者:
* 完成日期:
*************************************************************************/


#pragma once  //保证头文件只被编译一次 


#include <ntddk.h>


#define ULONG unsigned long
#define PAGEDCODE code_seg("PAGE") /*表示内存不足时，可以被置换到硬盘 的代码段*/
#define INITCODE code_seg("INIT")  /*指的代码运行后 就从内存释放掉 的代码段*/


//结构体声明


typedef struct _ServiceDescriptorTable {
PVOID ServiceTableBase; //System Service Dispatch Table 的基地址 
//包含着 SSDT 中每个服务被调用次数的计数器,这个计数器一般由sysenter 更新 
PVOID ServiceCounterTable;
unsigned int NumberOfServices;//由 ServiceTableBase 描述的服务的数目  
PVOID ParamTableBase; //包含每个系统服务参数字节数表的基地址-系统服务参数表 
}*PServiceDescriptorTable;  
 extern PServiceDescriptorTable KeServiceDescriptorTable; 


// 函数声明


NTSTATUS CreateDevice (IN PDRIVER_OBJECT pDriverObject);
VOID HelloDDKUnload (IN PDRIVER_OBJECT pDriverObject);
NTSTATUS HelloDDKDispatchRoutine(IN PDEVICE_OBJECT pDevObj,

IN PIRP pIrp);

/*******************************************************************************************************************************************************/

/****************************************************************Driver.c*******************************************************************************/

/************************************************************************
* 文件名称:Driver.c                                           
* 作    者:
* 完成日期:
*************************************************************************/


#include "Driver.h"


/************************************************************************
* 函数名称:DriverEntry
* 功能描述:初始化驱动程序，定位和申请硬件资源，创建内核对象
* 参数列表:
      pDriverObject:从I/O管理器中传进来的驱动对象
      pRegistryPath:驱动程序在注册表的中的路径
* 返回 值:返回初始化驱动状态
*************************************************************************/
#pragma INITCODE  //表示内存不足时，可以被置换到硬盘 的代码段
NTSTATUS DriverEntry (
IN PDRIVER_OBJECT pDriverObject,
IN PUNICODE_STRING pRegistryPath ) 
{

NTSTATUS status;
LONG *SSDT_Adr,SSDT_NtOpenProcess_Cur_Addr,t_addr; 
KdPrint(("驱动成功被加载中...............\n"));
#if DBG
_asm int 3 
#endif
//读取SSDT表
// 读取SSDT表中索引值为0x7A的函数
//[KeServiceDescriptorTable]+0x7a*4
t_addr=(LONG)KeServiceDescriptorTable->ServiceTableBase;
KdPrint(("当前ServiceTableBase地址为%x \n",t_addr));
SSDT_Adr=(PLONG)(t_addr+0x7A*4);
KdPrint(("当前t_addr+0x7A*4=%x \n",SSDT_Adr)); 
SSDT_NtOpenProcess_Cur_Addr=*SSDT_Adr;
KdPrint(("当前SSDT_NtOpenProcess_Cur_Addr地址为%x \n",SSDT_NtOpenProcess_Cur_Addr));


//注册其他驱动调用函数入口
pDriverObject->DriverUnload = HelloDDKUnload;
pDriverObject->MajorFunction[IRP_MJ_CREATE] = HelloDDKDispatchRoutine;
pDriverObject->MajorFunction[IRP_MJ_CLOSE] = HelloDDKDispatchRoutine;
pDriverObject->MajorFunction[IRP_MJ_WRITE] = HelloDDKDispatchRoutine;
pDriverObject->MajorFunction[IRP_MJ_READ] = HelloDDKDispatchRoutine;
pDriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = HelloDDKDispatchRoutine;

//创建驱动设备对象
status = CreateDevice(pDriverObject);


KdPrint(("DriverEntry end\n"));
return status;
}


/************************************************************************
* 函数名称:CreateDevice
* 功能描述:初始化设备对象
* 参数列表:
      pDriverObject:从I/O管理器中传进来的驱动对象
* 返回 值:返回初始化状态
*************************************************************************/
#pragma INITCODE //指的代码运行后 就从内存释放掉
NTSTATUS CreateDevice (
IN PDRIVER_OBJECT pDriverObject) 
{
NTSTATUS status;
PDEVICE_OBJECT pDevObj;//用来返回创建设备

// 创建设备名称 
UNICODE_STRING devName;     // 用于存放设备名称 
UNICODE_STRING symLinkName; // 用于存放符号链接名称

// 对devName初始化字串为 "\\Device\\junDDKDevice" 
RtlInitUnicodeString(&devName,L"\\Device\\junDDKDevice");

// 创建设备 
status = IoCreateDevice( pDriverObject,
0,
&devName,
FILE_DEVICE_UNKNOWN,
0, TRUE,
&pDevObj );
if (!NT_SUCCESS(status))
{
if (status==STATUS_INSUFFICIENT_RESOURCES)
{
KdPrint(("资源不足 STATUS_INSUFFICIENT_RESOURCES"));
}
if (status==STATUS_OBJECT_NAME_EXISTS )
{
KdPrint(("指定对象名存在 STATUS_OBJECT_NAME_EXISTS"));
}
if (status==STATUS_OBJECT_NAME_COLLISION)
{
KdPrint(("对象名有冲突 STATUS_OBJECT_NAME_COLLISION"));
}
KdPrint(("设备创建失败......"));
return status;
}
KdPrint(("设备创建成功...++++++++"));

pDevObj->Flags |= DO_BUFFERED_IO;


// 创建符号链接 
RtlInitUnicodeString(&symLinkName,L"\\??\\junHelloDDK");
status = IoCreateSymbolicLink( &symLinkName,&devName );
if (!NT_SUCCESS(status)) // status等于0 
{
IoDeleteDevice( pDevObj );
return status;
}
return STATUS_SUCCESS;
}


/************************************************************************
* 函数名称:HelloDDKUnload
* 功能描述:负责驱动程序的卸载操作
* 参数列表:
      pDriverObject:驱动对象
* 返回 值:返回状态
*************************************************************************/
#pragma PAGEDCODE //表示内存不足时，可以被置换到硬盘 的代码段
VOID HelloDDKUnload (IN PDRIVER_OBJECT pDriverObject) 
{
PDEVICE_OBJECT pDev;       // 用来取得要删除设备对象
UNICODE_STRING symLinkName;// 由驱动对象得到设备对象 

pDev=pDriverObject->DeviceObject;
IoDeleteDevice(pDev); // 删除设备 

// 取符号链接名字 
RtlInitUnicodeString(&symLinkName,L"\\??\\junHelloDDK");
// 删除符号链接 
IoDeleteSymbolicLink(&symLinkName);

KdPrint(("驱动成功被卸载...OK-----------"));
DbgPrint("卸载成功");
}


/************************************************************************
* 函数名称:HelloDDKDispatchRoutine
* 功能描述:对读IRP进行处理
* 参数列表:
      pDevObj:功能设备对象
      pIrp:从IO请求包
* 返回 值:返回状态
*************************************************************************/
#pragma PAGEDCODE /*表示内存不足时，可以被置换到硬盘 的代码段*/
NTSTATUS HelloDDKDispatchRoutine(IN PDEVICE_OBJECT pDevObj,
IN PIRP pIrp) 
{
KdPrint(("进入派遣函数 ******\n"));
// 完成IRP 
pIrp->IoStatus.Status = STATUS_SUCCESS;     // 设置IRP的状态为成功 
pIrp->IoStatus.Information = 0;         // 设置操作的字节数为0 
IoCompleteRequest( pIrp, IO_NO_INCREMENT ); // 指示完成此IRP
KdPrint(("离开派遣函数......\n"));          // 打印调试信息 
return STATUS_SUCCESS; // 返回成功 
}

/**************************************************************************************************************************************/

//下面是写给自己的:

编译的时候发现一个错误

错误起因：
KdPrint(("Enter DriverEntry成功加载++++++\n"));
ULONG SSDT_NtOpenProcess_Cur_Addr;

 syntax error missing ';' before 'type'

改为：
ULONG SSDT_NtOpenProcess_Cur_Addr;
KdPrint(("Enter DriverEntry成功加载++++++\n"));