[原创] 没什么用之——R0下不一样的SSDT Hook-编程技术-看雪安全社区

# 前言
一般的，SSDT hook会采用直接修改SSDT表的方式来进行，或者采用ETW hook来做，这两种办法都不错。那么我说一种比较水的办法来HOOK，可以针对特定进程进行SSDT hook，其是利用Alt系统来做的。

# 原理
如果探究过API R3进R0过程的人，肯定会逆向`KiSystemCall64`函数，不过详细观察该函数，会发现一个奇怪的函数`PsAltSystemCallDispatch`。该函数会在进程设置某些标志位的情况下调用，并且获得TrapFrame。
## 调用
 ![](upload/attach/202508/932553_ZYGTBA9ANRCM59R.webp)
通过图片上给出的汇编不难看出，该函数传入的是`TrapFrame`,我们可以转进去看一下。
 ![](upload/attach/202508/932553_8PPPTDU6R6JHJWW.webp)
会发现里面竟然从`PsAltSystemCallHandlers`地址处拿指针并执行（`_guard_dispatch_icall`就是个检查一下指针然后call过去）。
此处这个ida的结构体有问题，我们可以看一下真实结构（_KTHREAD第一个结构是_DISPATCHER_HEADER）：
```C++
struct _DISPATCHER_HEADER
{
            .....
            union
            {
                UCHAR DebugActive;                                          //0x3
                struct
                {
                    UCHAR ActiveDR7:1;                                      //0x3
                    UCHAR Instrumented:1;                                   //0x3
                    UCHAR Minimal:1;                                        //0x3
                    UCHAR Reserved4:2;                                      //0x3
                    UCHAR AltSyscall:1;                                     //0x3
                    UCHAR UmsScheduled:1;                                   //0x3
                    UCHAR UmsPrimary:1;                                     //0x3
                };
            };
        };
 
    };
    LONG SignalState;                                                       //0x4
    struct _LIST_ENTRY WaitListHead;                                        //0x8
};

```
这里判断4也就是（`Minimal`）。继续往后看看。

有指针，果断交叉引用一下快快会不会有什么地方写入，会发现竟然有写指针的函数，和开启该功能的函数。  
 ![](upload/attach/202508/932553_ZZTVY5JA2BBCJQ3.webp)

## 注册
通过该函数可以发现，`PsAltSystemCallHandlers`只有2个成员，且通过调用该函数可以直接注册回调函数。
 ![](upload/attach/202508/932553_3BVBGHNE4PZUCPN.webp)
通过图片的分析我们可以看出来，如果设置的index有回调函数了，就会蓝屏，也就是意味着如果设置了就无法覆盖。  
好消息是该函数是导出的函数。
 ![图片描述](upload/attach/202508/932553_XNAZA6W4YY5X8HG.webp) 
所以我们可以直接调用的。  
## 开启监控
通过分析该函数的传入参数不难看出，其主要是设置了程序执行体和线程执行体上的标志位。
 ![](upload/attach/202508/932553_9WR2K8PBG35DE55.webp)
这里可以从结构中看出，主要是设置了`AltSyscall`开启。
```C++
struct
{
	ULONG Minimal : 1;                                                //0x87c
	ULONG ReplacingPageRoot : 1;                                      //0x87c
	ULONG Crashed : 1;                                                //0x87c
	ULONG JobVadsAreTracked : 1;                                      //0x87c
	ULONG VadTrackingDisabled : 1;                                    //0x87c
	ULONG AuxiliaryProcess : 1;                                       //0x87c
	ULONG SubsystemProcess : 1;                                       //0x87c
	ULONG IndirectCpuSets : 1;                                        //0x87c
	ULONG RelinquishedCommit : 1;                                     //0x87c
	ULONG HighGraphicsPriority : 1;                                   //0x87c
	ULONG CommitFailLogged : 1;                                       //0x87c
	ULONG ReserveFailLogged : 1;                                      //0x87c
	ULONG SystemProcess : 1;                                          //0x87c
	ULONG HideImageBaseAddresses : 1;                                 //0x87c
	ULONG AddressPolicyFrozen : 1;                                    //0x87c
	ULONG ProcessFirstResume : 1;                                     //0x87c
	ULONG ForegroundExternal : 1;                                     //0x87c
	ULONG ForegroundSystem : 1;                                       //0x87c
	ULONG HighMemoryPriority : 1;                                     //0x87c
	ULONG EnableProcessSuspendResumeLogging : 1;                      //0x87c
	ULONG EnableThreadSuspendResumeLogging : 1;                       //0x87c
	ULONG SecurityDomainChanged : 1;                                  //0x87c
	ULONG SecurityFreezeComplete : 1;                                 //0x87c
	ULONG VmProcessorHost : 1;                                        //0x87c
	ULONG VmProcessorHostTransition : 1;                              //0x87c
	ULONG AltSyscall : 1;                                             //0x87c
	ULONG TimerResolutionIgnore : 1;                                  //0x87c
	ULONG DisallowUserTerminate : 1;                                  //0x87c
};
```
但是很遗憾该函数并未导出，但是天无绝人之路，可以直接用`NtSetInformationProcess`开启。
 ![](upload/attach/202508/932553_JUMYWH7YCKRM5AG.webp)
可以设置`ProcessInformationClass`的值为0x64来开启，其中发现`ProcessInformation`的值没用过，只要不是0就可以了。  
# 代码实现
```C++
EXTERN_C NTSYSCALLAPI NTSTATUS NTAPI NtSetInformationProcess(
    _In_ HANDLE ProcessHandle,
    _In_ DWORD ProcessInformationClass,
    _In_reads_bytes_(ProcessInformationLength) PVOID ProcessInformation,
    _In_ ULONG ProcessInformationLength
);
#define ProcessAltSystemCallInformation 100
typedef NTSTATUS(*t_PsRegisterAltSystemCallHandler)(PVOID, int);
typedef bool(*t_AltCallBack)(PKTRAP_FRAME);

NTSTATUS RegCallBack(HANDLE hPid, t_AltCallBack pCallback) {
	NTSTATUS	      status		= STATUS_UNSUCCESSFUL;
	UNICODE_STRING    uRegister		= RTL_CONSTANT_STRING(L"PsRegisterAltSystemCallHandler");
	HANDLE			  hProc			= NULL;
	OBJECT_ATTRIBUTES objectAttr;
	CLIENT_ID		  clientId;
	t_PsRegisterAltSystemCallHandler pPsRegisterAltSystemCallHandler = NULL;

InitializeObjectAttributes(&objectAttr, NULL, 0, NULL, NULL);
	do
	{
		if (pCallback == NULL || hPid == NULL) {
			status = STATUS_INVALID_PARAMETER;
			break;
		}

pPsRegisterAltSystemCallHandler = (t_PsRegisterAltSystemCallHandler)MmGetSystemRoutineAddress(&uRegister);
		if (pPsRegisterAltSystemCallHandler == 0) {
			status = STATUS_INVALID_ADDRESS;
			break;
		}

status = pPsRegisterAltSystemCallHandler(pCallback, 1);
		if (!NT_SUCCESS(status)) {
			break;
		}

clientId.UniqueProcess = hPid;
		clientId.UniqueThread  = 0;
		status = ZwOpenProcess(&hProc, PROCESS_ALL_ACCESS, &objectAttr, &clientId);
		if (!NT_SUCCESS(status)) {
			break;
		}

status = NtSetInformationProcess(hProc, ProcessAltSystemCallInformation, &hProc, 1);
		if (!NT_SUCCESS(status)) {
			break;
		}

} while (false);
	return status;
}

```
直接调用这个函数就可以了，第一个参数传入pid，第二个是回调函数。  
```C++
	RegCallBack(ULongToHandle(1234), [](PKTRAP_FRAME pTrapFrame)->bool {
		if (pTrapFrame != NULL)
			KdPrint(("[+] rax: %p\n", pTrapFrame->Rax));
		return true;
	});
```
# 说在最后
最重要的事情是：这个东西在**win10上可行**，**win11已经进行了修改**。 ~~后面有时间再分析~~。
第二重要的是：注册过回调之后无法再次注册，意味着如果对某个进程开启监控时无法停止，也不能卸载驱动，除非进程结束。

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#系统内核 #HOOK/注入 #开源分享

最新回复 (71) 1 2 3 ▶
smallzhong_ 雪币： 3771 活跃值： (6837) 能力值： ( LV5，RANK：65 ) 在线值：发帖 10 回帖 99 粉丝 178 关注私信	smallzhong_ 2 楼学习了 2025-8-10 21:24 0
zylyy 雪币： 144 活跃值： (2738) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 491 粉丝 3 关注私信	zylyy 3 楼学习了 2025-8-10 21:26 0
周旋久雪币： 1485 活跃值： (2276) 能力值： ( LV3，RANK：30 ) 在线值：发帖 2 回帖 21 粉丝 66 关注私信	周旋久 4 楼神墨水 2025-8-10 22:17 0
mb_ndttieme 雪币： 477 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 42 粉丝 0 关注私信	mb_ndttieme 5 楼这个讨论对我很有帮助，谢谢！ 2025-8-10 22:38 0
东城狂人雪币： 124 活跃值： (2290) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 74 粉丝 2 关注私信	东城狂人 6 楼学习学习 2025-8-10 22:55 0
烟云过客行雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	烟云过客行 7 楼学习 2025-8-10 23:35 0
逆向爱好者雪币： 3557 活跃值： (7944) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 288 粉丝 25 关注私信	逆向爱好者 8 楼 666666666666666666666666 2025-8-11 08:53 0
逆向爱好者雪币： 3557 活跃值： (7944) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 288 粉丝 25 关注私信	逆向爱好者 9 楼 22h2，这两个值默认都不为零，我修改成功注册后没效果 2025-8-11 10:01 0
moshuiD 雪币： 8948 活跃值： (4526) 能力值： (RANK：166 ) 在线值：发帖 9 回帖 36 粉丝 66 关注私信	moshuiD 3 10 楼逆向爱好者 22h2，这两个值默认都不为零，我修改成功注册后没效果看看是不是有什么驱动抢先注册了，第二个默认是0的 2025-8-11 10:36 0
逆向爱好者雪币： 3557 活跃值： (7944) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 288 粉丝 25 关注私信	逆向爱好者 11 楼 moshuiD 看看是不是有什么驱动抢先注册了，第二个默认是0的这个加零是一个函数，加8是八字节的1，函数是系统nto模块里面的。 2025-8-11 12:30 0
fengyunabc 雪币： 5418 活跃值： (6237) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 634 粉丝 27 关注私信	fengyunabc 1 12 楼感谢分享。 2025-8-11 12:46 0
moshuiD 雪币： 8948 活跃值： (4526) 能力值： (RANK：166 ) 在线值：发帖 9 回帖 36 粉丝 66 关注私信	moshuiD 3 13 楼逆向爱好者这个加零是一个函数，加8是八字节的1，函数是系统nto模块里面的。 1.确保系统是win10 且干净 2.加0就是系统自己的函数，这个是系统启动的时候设置的。 3.加8默认是0，如果有东西应该是其他驱动捣的鬼 2025-8-11 14:06 0
蜜蜂啊雪币： 603 活跃值： (3803) 能力值： ( LV4，RANK：42 ) 在线值：发帖 0 回帖 116 粉丝 1 关注私信	蜜蜂啊 14 楼谢谢分享 2025-8-11 15:19 0
wx_插曲雪币： 411 活跃值： (991) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 323 粉丝 24 关注私信	wx_插曲 15 楼谢谢分享 2025-8-11 15:26 0
method 雪币： 1972 活跃值： (8178) 能力值： ( LV5，RANK：70 ) 在线值：发帖 13 回帖 268 粉丝 134 关注私信	method 1 16 楼 1 2025-8-11 18:11 0
mb_pesxllvn 雪币： 378 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 122 粉丝 2 关注私信	mb_pesxllvn 17 楼 666 2025-8-11 18:19 0
末日大哥雪币： 1122 活跃值： (2206) 能力值： ( LV3，RANK：30 ) 在线值：发帖 10 回帖 159 粉丝 0 关注私信	末日大哥 18 楼 666学习一下 2025-8-11 19:30 0
dangluan 雪币： 0 活跃值： (4890) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 27 粉丝 0 关注私信	dangluan 19 楼谢谢分享 2025-8-11 19:45 0
mb_PdknGiIY 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_PdknGiIY 20 楼逆向爱好者 666666666666666666666666 可以私？ 2025-8-11 20:27 0
七夜大大雪币： 9534 活跃值： (8150) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 13 粉丝 1 关注私信	七夜大大 21 楼学习一下 2025-8-12 08:04 0
jinyurong 雪币： 205 活跃值： (863) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 72 粉丝 1 关注私信	jinyurong 22 楼学习一下 2025-8-12 08:32 0
wujimaa 雪币： 364 活跃值： (3117) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 211 粉丝 1 关注私信	wujimaa 1 23 楼 55555 2025-8-12 17:58 0
漆黑火焰魔法使雪币： 0 活跃值： (406) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 49 粉丝 0 关注私信	漆黑火焰魔法使 24 楼学习一下 2025-8-12 18:28 0
kagayaki 雪币： 2200 活跃值： (9360) 能力值： ( LV3，RANK：20 ) 在线值：发帖 179 回帖 1370 粉丝 30 关注私信	kagayaki 25 楼学习一下 2025-8-12 21:39 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复