[讨论]学习SSDT,第二个表项的值的问题--SYSTEM_SERVICE_TABLE win32k; //win32k.sys的服务函数[解决]-编程技术-看雪-安全社区|安全招聘|kanxue.com

[讨论]学习SSDT,第二个表项的值的问题--SYSTEM_SERVICE_TABLE win32k; //win32k.sys的服务函数[解决]

发表于: 2011-10-25 16:24 4981

[讨论]学习SSDT,第二个表项的值的问题--SYSTEM_SERVICE_TABLE win32k; //win32k.sys的服务函数[解决]

firfor

2011-10-25 16:24

4981

先什么都不说,下面是从百度贴过来的系统描述符表的定义,也就是说有4个表项.现在大家用的很多也,讨论的很多的第一个表项基本没有问题了.能够看到其值是多少.但是
第二个表项的什为什么会一直是0呢?[第三,四个表项是没有用到了,是零肯定没能问题]

typedef struct _SERVICE_DESCRIPTOR_TABLE
　　{
　　SYSTEM_SERVICE_TABLE ntoskrnel; //ntoskrnl.exe的服务函数
　　[COLOR="red"]SYSTEM_SERVICE_TABLE win32k; //win32k.sys的服务函数,(gdi.dll/user.dll的内核支持)[/COLOR]
　　SYSTEM_SERVICE_TABLE NotUsed1;
　　SYSTEM_SERVICE_TABLE NotUsed2;
　　}SYSTEM_DESCRIPTOR_TABLE,*PSYSTEM_DESCRIPTOR_TABLE;

现在看一下windbg的输出:

kd> dd keservicedescriptortable
80553180  80502030 00000000 0000011c 805024a4
[COLOR="Red"][B]80553190  00000000 00000000 00000000 00000000[/B][/COLOR]
805531a0  00000000 00000000 00000000 00000000
805531b0  00000000 00000000 00000000 00000000
805531c0  00002710 bf80da45 00000000 00000000
805531d0  f7aeaa80 f72589e0 861a17c0 806e0f40
805531e0  00000000 00000000 3190a304 00000000
805531f0  f6259544 01cc92ea 00000000 00000000

可以看到第二个表项是一直是零是为什么呢?.
还有一个keservicedescriptortableShadow与它又是什么关系?

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏・0

免费・0

支持

最新回复 (2)
crjswyf 雪币： 25 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	crjswyf 2 楼 keservicedescriptortable keservicedescriptortableShadow的类型是SYSTEM_SERVICE_TABLE不是SERVICE_DESCRIPTOR_TABLE 2011-10-25 17:05 0
firfor 雪币： 122 活跃值： (46) 能力值： ( LV5，RANK：60 ) 在线值：发帖 13 回帖 73 粉丝 0 关注私信	firfor 1 3 楼谢谢你的回答.问题解决了,其实两个都是SERVICE_DESCRIPTOR_TABLE,只是非shadow项只填入了第一个表项,而另外的一个表里把所有用到的表项都填写了,不过没有导出.你可以用windbg看 KeServiceDescriptorTable-0x40地址处的东西,就是那个shadow表.用到的两项表项都有的,只是没有导出,不能用符号访问. 2011-10-25 17:10 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

firfor

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区

最新回复 (2)
crjswyf 雪币： 25 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	crjswyf 2 楼 keservicedescriptortable keservicedescriptortableShadow的类型是SYSTEM_SERVICE_TABLE不是SERVICE_DESCRIPTOR_TABLE 2011-10-25 17:05 0
firfor 雪币： 122 活跃值： (46) 能力值： ( LV5，RANK：60 ) 在线值：发帖 13 回帖 73 粉丝 0 关注私信	firfor 1 3 楼谢谢你的回答.问题解决了,其实两个都是SERVICE_DESCRIPTOR_TABLE,只是非shadow项只填入了第一个表项,而另外的一个表里把所有用到的表项都填写了,不过没有导出.你可以用windbg看 KeServiceDescriptorTable-0x40地址处的东西,就是那个shadow表.用到的两项表项都有的,只是没有导出,不能用符号访问. 2011-10-25 17:10 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复