资料汇总：KiFastCallEntry，SSDT及系统调用

最新推荐文章于 2025-01-07 09:21:54 发布
最新推荐文章于 2025-01-07 09:21:54 发布
阅读量501 收藏
点赞数
分类专栏： security 文章标签： ssdt 系统调用 驱动
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/tjhd1989/article/details/8747319
版权

Hook KiFastCallEntry监控系统调用
http://bbs.pediy.com/showthread.php?t=144538

Windows系统调用架构分析—也谈KiFastCallEntry函数地址的获取
http://blog.youkuaiyun.com/otishiono/article/details/7606429

KiFastCallEntry KiServiceExit
http://www.joenchen.com/archives/852

KiFastCallEntry()机制分析
http://www.mouseos.com/windows/kernel/KiFastCallEntry.html

Hook Shadow SSDT
http://bbs.pediy.com/showthread.php?t=65931

Driver Development Part 1: Introduction to Drivers
http://www.codeproject.com/Articles/9504/Driver-Development-Part-1-Introduction-to-Drivers

实战DeviceIoControl 之一：通过API访问设备驱动程序
http://blog.youkuaiyun.com/bhw98/article/details/19660


进程隐藏与进程保护（SSDT Hook 实现）（一）
http://www.cnblogs.com/BoyXiao/archive/2011/09/03/2164574.html

系统调用计算KiFastCallEntry地址的过程以及由此得到的一种获取KiFastCallEntry地址的方式
Lagon的专栏
03-23 1890
SYENTER和SYSEXIT指令首次出现于Pentium II处理器中,其目的是为了提供一个快速(低负载) 的调用操作系统或者执行体过程的机制.SYSENTER用于运行特权级别为3的用户 调用特权级0 的系统内核代码。 WinDbg中反汇编 KiFastSystemCall可以看到SYSENTER指令。 在调用SYSENTER指令前，CPU会通过下面的MSR
2.5 windows xp，ReactOS系统快速系统调用的实现
zhyjhacker的博客
10-16 1342
windows xp，ReactOS系统快速系统调用的实现。
Windows系统调用学习笔记（四）—— 系统服务表&SSDT
lzyddf的博客
11-11 3310
Windows系统调用学习笔记（四）—— 系统服务表前言要点回顾系统服务表实验：分析 KiSystemService 与 KiFastCallEntry 共同代码 前言 一、学习自滴水编程达人中级班课程，官网：https://bcdaren.com 二、海东老师牛逼！ 要点回顾 API进入0环后调用的函数： 中断门 – KiSystemService 快速调用 – KiFastCallEnt...
系统调用之逆向KiFastCallEntry
wxy_xx1的博客
10-16 463
【代码】系统调用之逆向KiFastCallEntry。
Windows内核系统调用分析
bcbobo21cn的专栏
05-10 811
系统调用 进程 ——> 调用OS API；OS进程管理 ——> 调配进程。 仅从用户进程角度，OS就像是一个被动响应的运行时库。Windows提供了一个系统调用界面作为外层，即Win32API；Linux的CRuntime库标准，Windows也支持。用户进程通过调用这些OS接口，可以部分操作系统内核。 硬件] 设备驱动] 核心层] 管理层] 系统服务界面，中断入口（不公开）] 系统DLL（公开）] ——>API 用户进程没有调用内核函数（特权指令）...
Windows系统调用学习笔记（三）—— 保存现场
lzyddf的博客
11-09 2404
Windows系统调用学习笔记（三）—— 保存现场前言要点回顾API进入0环后调用的函数：基本概念Trap Frame结构线程相关的结构体ETHREADKTHREADCPU相关的结构体KPCR_NT_TIBKPRCB 前言 一、学习自滴水编程达人中级班课程，官网：https://bcdaren.com 二、海东老师牛逼！ 要点回顾 API进入0环后调用的函数： 中断门 – KiSystemSe...
RMB系统调用4、SSDT
Windows内核学习笔记
07-06 313
一、回顾 前两篇博客，我逆向分析了 KiSystemService 和 KiFastCallEntry 填充_KTRAP_FRAME 结构体的代码，二者大同小异，主要的区别是 sysenter 只改了eip,cs,ss，虽然esp也改了，但是windows不使用，而是从TSS里取esp0；另外sysenter并没有像中断门那样压栈，所以3环的 ss, esp, eflags, cs,eip都要在函数里依次保存到 _KTRAP_FRAME 。 这次课后作业是逆向 KiSystemService / KiFas
Windows系统调用架构分析—也谈KiFastCallEntry函数地址的获取
09-25 193
为什么要写这篇文章 1.因为最近在学习《软件调试》这本书，看到书中的某个调试历程中讲了Windows的系统调用的实现机制，其中讲到了从Ring3跳转到Ring0之后直接进入了KiFastCallEntry这个函数。 2.碰巧前天又在网上看到了一篇老文章介绍xxx安全卫士对Windows系统调用的Hook，主要就是Hook到这个函数 3.刚刚做...
监控应用层通信_hook_kifastcallentry(系统服务调用)
02-02 937
#include"ntddk.h" #pragma pack(1) //写这个内存以一字节对齐 如果不写是以4字节的对齐的 typedef struct ServiceDescriptorEntry {//这个结构就是为了管理这个数组而来的 内核api所在的数组 才有这个结构的 这个是ssdt unsigned int *ServiceTableBase;//就是ServiceT
系统调用笔记（2）
kernweak的博客
04-29 609
API函数的调用过程（SystemServiceTable） 在上中，讲到进0环后，3环的各种寄存器都会保留到 _Trap_Frame结构体中，这篇我讲解 如何根据系统服务号(eax中存储)找到要执行的内核函数？ 调用时参数是存储到3环的堆栈，如何传递给内核函数？ SystemServiceTable 系统服务表 系统服务表 ServiceTable存了系统服务表里函数地址表（4字...
深入解析KiFastCallEntry钩子技术与系统调用监控
在64位Windows系统中，系统调用通过一个名为“快速系统调用”的机制来实现，KiFastCallEntry正是这一机制中的一个关键环节。通过Hook这一函数，开发者能够在系统调用发生之前或之后执行自定义代码，从而监控或修改...
深入理解Hook技术：监控系统调用及C语言源码分享
资源摘要信息:"Hook-KiFastCallEntry是一个利用hook技术监控特定进程系统调用的小程序。该技术基于KiFastCallEntry函数，一种在Windows操作系统中用于快速系统调用的函数。通过hook KiFastCallEntry，程序能够捕捉和...
2 系统调用
最新发布
史D芬周
01-07 106
API通过中断门进入0环有一个固定的中断号即0x2E，CS、EIP由中断门描述符提供，ESP、SS由TSS提供，进入0环之后执行的内核函数是nt!API通过SYSENTER指令进入０环，CS、ESP、EIP由MSR寄存器提供，SS由CS的值加0x8计算得出，进入0环之后执行的内核函数是nt!内核函数所在模块为：ntoskrnl.exe（10-10-12分页模式下使用）、ntkrnlpa.exe（2-9-9-12分页模式下使用）。
QEMU简单教程（不断更新中...）
12-02 8004
QEMU是一个开源的虚拟机和模拟器，由法国天才程序员Fabrice Bellard  所开发，可以模拟不同的处理器架构（x86,server and embedded PowerPC, and S390 guests）。官网为 http://wiki.qemu.org/Main_Page KVM是构建在QEMU之上的虚拟机，其本身主要是一个Linux内核模块，只不过了整合了QEMU，目前受到
利用virustotal公共API获取病毒样本扫描结果
04-26 3083
virustotal.com网站允许用户上传恶意样本，然后返回46个病毒扫描器的扫描报告。 利用virustotal.com网站提供的公共API，可以编写python脚本自动获取这个扫描报告。 官方网站就有详细的教程 https://www.virustotal.com/en/documentation/public-api/ 首先要注册一个帐号，登录后在帐号Profile下可以发现
Windows下使用二进制插装工具Pin
11-04 2417
Pin是Intel公司提供的一个程序插装工具，支持IA-32，Intel(R) 64和IA64架构上的Linux和Windows可执行程序。 Pin允许一个工具在可执行程序的任何地方插入任意代码（用C或C++编写）。这些代码在程序运行的时候动态添加（修改内存映像）。这也使得可以将Pin附加到进程上。 下载地址：http://software.intel.com/en-us/articles/p
TEMU和Vine的简单用法
11-16 1953
TEMU的用法 首先要创建一个虚拟的系统 qemu-img create -f qcow2 /opt/kvm/winxp.img 10G 创建格式为qcow2大小为10G的虚拟磁盘文件 sudo qemu-system-i386 -hda /opt/kvm/winxp.img -cdrom /opt/kvm/winxp_sp2.iso -boot d  根据镜像iso文件在winxp.img
STP安装与使用
11-02 1694
STP的全称为Simple Theorem Prover，由MIT的Vijay Ganesh领导的小组开发，主要用于约束求解类问题。 官方主页：http://people.csail.mit.edu/vganesh/STP_files/stp.html 安装 官网给出了一个64位的编译文件，但是考虑到很多系统都是32位，所以有必要对源码重新编译安装一次。 安装环境是linux系统（我的是C
Bitblaze动态模块TEMU的安装
11-16 1581
安装环境：ubuntu-11.10  安装过程 tar zxvf temu-1.0.tar.gz 解压后会得到文件夹temu-1.0 在该文件夹的docs目录下有文件install-temu-release.sh，里面提供了所有安装需要的命令 如果安装qemu的命令不能用，可以网上搜搜。 安装gcc-3.4的命令不可用，可以选择deb包安装（源码安装会折腾死人。。。）。 从http
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值