ssdt表通用hook 任意ssdthook

最新推荐文章于 2025-05-30 12:17:39 发布

「已注销」

最新推荐文章于 2025-05-30 12:17:39 发布

阅读量302

点赞数

分类专栏：内核驱动全部集合

内核驱动全部集合专栏收录该内容

164 篇文章

订阅专栏

本文介绍了一种在内核模式下使用 SSDT (系统服务描述表) 进行 Hook 的方法，通过替换特定系统调用地址实现对 NtCreateDebugObject 函数的功能拦截与替换。文中详细展示了如何进行 Hook 操作及后续的取消 Hook 过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >


ULONG old_NtCreateDebugObject=0;
ULONG ssdt_hook_quanbu_biaozhong(ULONG ssdt_i,ULONG newhanshu)
{
	old_NtCreateDebugObject = KeServiceDescriptorTable.ServiceTableBase[ssdt_i];
   __asm
	{
		cli
			mov		eax, cr0
			and		eax, 0fffeffffh
			mov		cr0, eax
	}
	KeServiceDescriptorTable.ServiceTableBase[ssdt_i] = (unsigned int)newhanshu;
	__asm
	{
		mov		eax, cr0
			or		eax, 010000h
			mov		cr0, eax
			sti
	}
	KdPrint(("ssdt hook 执行完毕\n"));
	return 1;
}
ULONG ssdt_unhook_quanbu_biaozhong(ULONG ssdt_i, ULONG laohanshu)
{
	old_NtCreateDebugObject = KeServiceDescriptorTable.ServiceTableBase[ssdt_i];
	__asm
	{
		cli
			mov		eax, cr0
			and		eax, 0fffeffffh
			mov		cr0, eax
	}
	KeServiceDescriptorTable.ServiceTableBase[ssdt_i] = (unsigned int)laohanshu;
	__asm
	{
		mov		eax, cr0
			or		eax, 010000h
			mov		cr0, eax
			sti
	}
	KdPrint(("ssdt hook 卸载完毕\n"));
	return 1;
}
ULONG hook_entry()
{
	ssdt_hook_quanbu_biaozhong(0x23, (ULONG)NewNtCreateDebugObject);
	return 0;
}
ULONG unhook_entry()
{
	ssdt_hook_quanbu_biaozhong(0x23, old_NtCreateDebugObject);
	return 0;
}