(转)windbg查看ssdt的方法

http://blog.sina.com.cn/s/blog_53e1b6e00100w4j6.html

dp nt!KeServiceDescriptorTable

80553fa0  80502b8c 00000000 0000011c 80503000
80553fb0  00000000 00000000 00000000 00000000
80553fc0  00000000 00000000 00000000 00000000
80553fd0  00000000 00000000 00000000 00000000

typedef struct _SYSTEM_SERVICE_TABLE

{

　　PVOID ServiceTableBase; //这个指向系统服务函数地址表

　　PULONG ServiceCounterTableBase;

　　ULONG NumberOfService; //服务函数的个数

　　ULONG ParamTableBase;

}SYSTEM_SERVICE_TABLE,*PSYSTEM_SERVICE_TABLE;

 

typedef struct _SERVICE_DESCRIPTOR_TABLE

{

　　SYSTEM_SERVICE_TABLE ntoskrnel; //ntoskrnl.exe的服务函数

　　SYSTEM_SERVICE_TABLE win32k; //win32k.sys的服务函数,(gdi.dll/user.dll的内核支持)

　　SYSTEM_SERVICE_TABLE NotUsed1;

　　SYSTEM_SERVICE_TABLE NotUsed2;

}SYSTEM_DESCRIPTOR_TABLE,*PSYSTEM_DESCRIPTOR_TABLE;  

 

第一个是首地址80502b8c

dds 80502b8c l 11c

就得到ssdt了

 

别忘了要载入正确的符号

 

下面帖子里的脚本很好用

http://bbs.pediy.com/showthread.php?threadid=34018

转载于:https://www.cnblogs.com/himessage/archive/2012/12/20/2825907.html