SSDTHook实现解析(x86)

最新推荐文章于 2025-02-20 08:20:11 发布

KookNut39

最新推荐文章于 2025-02-20 08:20:11 发布

阅读量467

点赞数 2

分类专栏： Windows开发

本文链接：https://blog.youkuaiyun.com/qq_42253797/article/details/104352520

版权

Windows开发专栏收录该内容

63 篇文章 ¥19.90 ¥99.00

订阅专栏

超级会员免费看

本文介绍了SSDT Hook的工作原理，以ReadFile()函数为例，详细阐述了从Ring3到Ring0的调用过程，包括如何通过系统调用号找到内核函数，并通过修改SSDT表实现Hook。代码示例中，重点展示了构建MDL以修改内存属性，并使用InterlockedExchange进行原子替换。文章强调理解Hook原理的重要性，并提醒在Hook完成后要恢复SSDT表。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在说到SSDTHook实现之前，我们首先来了解一下Win32API的调用过程，我们以ReadFile()为例，来看看从Ring3层到Ring0层的调用过程：
在一个Ring3进程Test.exe中调用ReadFile()函数，此时我们调用的是kernel32.dll中的导出函数，接下来ReadFile()会调用到位于ntdll.dll中的NtReadFile()或者ZwReadFile()，在ntdll.dll中的这两个函数实现是一样的，通过Windbg调试器查看如下：
在这里插入图片描述

通过调用ntdll.dll中的NtReadFile()函数会将系统调用号放入EAX寄存器中，以便切入内核时在SSDT表中找到对应的内核函数；如果内核采用自陷指令int 0x2e时，将堆栈上的参数块起始地址放入EDX寄存器中，以便于在内核层拷贝用户层所传递参数；接下来会通过int 0x2E自陷指令，切入到内核中去，此处的0x2E是系统中断向量表中的中断向量，也是IDT表

了解本专栏