InitHook proc

;HOOK SSSDT 必须在GUI线程上下文操作才有效，DispatchControl 操作会加载win32k.sys,加载win32k.sys后，系统导出的KeServiceDescriptorTable表会失效

;这时HOOK SSDK 直接用找到的SSSDT基址即可，SSSDT表在第二个数组。

;取SSDT表基地址

invoke GetServiceDescriptorTableShadowAddress

mov SSDT,eax

;取SSSDT表基地址（win32.sys）

add eax,size SYSTEM_SERVICE_TABLE

mov SSSDT,eax

invoke DbgPrint,$CTA0("SSSDT BASE: %8X\n"),eax
;取系统版本

invoke GetWindowsVersion

mov WINDOWS_VERSION,eax


;只确定WINXP和WIN7的SSSDT序号是正确的，其他系统请修改。

.if eax==WINDOWS_VERSION_2K


mov NtUserCallNoParam_callnumber,142h
mov NtUserCallOneParam_callnumber,143h
mov Rcode,38h
ret


.elseif eax==WINDOWS_VERSION_XP || eax==WINDOWS_VERSION_2K3


mov NtUserCallNoParam_callnumber,142h
mov NtUserCallOneParam_callnumber,143h
mov Rcode,34h
ret

.else

mov NtUserCallNoParam_callnumber,14dh
mov NtUserCallOneParam_callnumber,14eh
mov Rcode,10h
ret

.endif


ret
InitHook endp



;***************************************************************************
; 根据给出的服务序号和替代服务地址修改ssdt表，返回值为原服务地址
;***************************************************************************
EditSSDT proc uses ebx ecx lpbase:dword ,dwIndex:dword,lpNowProc:dword

invoke MmIsAddressValid,lpNowProc ;检查地址是否有效
.if al== FALSE

;invoke DbgPrint, $CTA0("无效地址:%8X\n"),lpNowProc
mov eax,FALSE
ret
.endif
mov ecx, dwIndex
mov eax, lpbase ;SYSTEM_SERVICE_TABLE


.if ecx>[eax+8] ;判断服务序号是否超出服务总数

mov eax,FALSE
ret

.endif

mov eax,[eax] ;SSDT的指针

mov ebx,[eax+ecx*4] ;原地址

.if lpNowProc==ebx ;原地址和要修改的地址相同，代表已经修改，直接返回假

mov eax,FALSE
ret

.endif

push ebx ;入栈，保存原来的ServerBase

lea ecx,[eax+ecx*4] ;取序号地址 也就是 mov ecx,eax+ecx*4



push ecx ;保护ecx， MmIsAddressValid函数会修改ECX的值
invoke MmIsAddressValid,[ecx] ;检查地址是否有效
pop ecx

.if al== FALSE
pop eax ;恢复堆栈

;invoke DbgPrint, $CTA0("无效地址:%8X\n"),ecx

mov eax,FALSE
ret
.endif


;去掉写保护
push eax
cli
mov eax, cr0
and eax, not 10000h
mov cr0, eax
pop eax


;修改 SSDT
push lpNowProc
pop dword ptr[ecx]

;恢复写保护
push eax
mov eax, cr0
or eax, 10000h
mov cr0, eax
sti
pop eax

pop eax ;出栈，返回值为原服务地址
ret
EditSSDT endp



new_NtUserCallNoParam proc Routine:dword , Param:dword
;在win7下NtUserCallNoParam的第一个参数Routine = 10h的时候 是关机/重启/注销
mov eax,Rcode
.IF Routine==eax

mov eax ,0
ret

.else

push Param
push Routine

call old_NtUserCallNoParam
ret

.endif

new_NtUserCallNoParam endp

new_NtUserCallOneParam proc Param:dword , Routine:dword
;在win2k下 NtUserCallOneParam的第二个参数Routine = 0x38的时候 是关机/重启/注销
;在winxp/win2k3下NtUserCallOneParam的第二个参数Routine = 0x34的时候 是关机/重启/注销

mov eax,Rcode

.IF Routine==eax

mov eax ,0

ret

.else

push Routine
push Param
call old_NtUserCallOneParam
ret


.endif

new_NtUserCallOneParam endp

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)