-
-
[旧帖] SSDT hook怎么通过函数名得到服务号的? 0.00雪花
-
发表于: 2012-1-18 13:35
-
kssd里的帖子
// 根据 Zw_function 获取服务ID
#define SERVICE_ID(_function) (*(PULONG)((PUCHAR)_function + 1))
没看懂这句怎么通过zw函数的函数名 获得 服务号的
谁能帮我解释解释…
// 根据 Zw_function 获取服务ID
#define SERVICE_ID(_function) (*(PULONG)((PUCHAR)_function + 1))
没看懂这句怎么通过zw函数的函数名 获得 服务号的
谁能帮我解释解释…
|
|
|---|---|
|
|
明白了
|
|
|
拿ZwQuerySystemInformation来说，在RING0下它的反汇编代码如下：
nt!ZwQuerySystemInformation: 80501ac0 b8ad000000 mov eax,0ADh ;把函数序号0xAD放到eax里 80501ac5 8d542404 lea edx,[esp+4] 80501ac9 9c pushfd 80501aca 6a08 push 8 80501acc e8b0090400 call nt!KiSystemService (80542481) ;nt!KiSystemService -> nt!KiFastCallEntry -> nt!NtQuerySystemInformation 80501ad1 c21000 ret 10h 结合机器码，看第一条指令 80501ac0 b8ad000000 mov eax,0ADh b8即是mov eax,xxxxxxxxh 后面跟着的ad000000就是函数序号了，读出来就是000000ADh 所以，函数序号就以DWORD方式保存在 Zw函数地址+1 的位置 上面那个宏正是这么做的（不懂C语言的话就得自己补补了） *(PULONG)((PUCHAR)_function + 1) |
|
|
 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
