-
-
[求助]请问SSDT中的索引ID1000以上的函数（NtUserValidateHandleSecure）
-
发表于:
2008-2-19 23:10
9278
-
[求助]请问SSDT中的索引ID1000以上的函数（NtUserValidateHandleSecure）
索引id没有错，我跟过的，是mov eax, 1248 callxxxxxx --> mov edx,esp sysenter
dd 8080d8b0+1248*4应该是没有错的，但是之后dd 21ae830f却不对了（内容空）
过程如下：
lkd> dd KeServiceDescriptorTable
8088a500 8080d8b0 00000000 0000011c 80840fc4
8088a510 00000000 00000000 00000000 00000000
8088a520 00000000 00000000 00000000 00000000
8088a530 00000000 00000000 00000000 00000000
8088a540 00000002 00002710 bf80c227 00000000
8088a550 f8cbca80 f86f74a0 83adfa90 80a38040
8088a560 00000000 00000000 ffea8ad6 ffffffff
8088a570 094c9316 01c872f6 00000000 00000000
lkd> dd 8080d8b0+1248*4
808121d0 21ae830f 558b0001 8153e80c c25dffff
808121e0 90900008 8b909090 ec8b55ff 08758b56
808121f0 8b0c46ff 8113e8ce c085ffff e25e840f
80812200 5d5e0000 900004c2 ffffffff 80930288
80812210 80930291 ffffffff 00000000 808a3594
80812220 ffffffff 00000000 80930168 90909090
80812230 ffffffff 8092ee28 8092ee3b 8bf3b70f
80812240 0fc72bc6 d233c2af 0007d0bb 83f3f700
lkd> dd 21ae830f
21ae830f ???????? ???????? ???????? ????????
21ae831f ???????? ???????? ???????? ????????
21ae832f ???????? ???????? ???????? ????????
21ae833f ???????? ???????? ???????? ????????
21ae834f ???????? ???????? ???????? ????????
21ae835f ???????? ???????? ???????? ????????
21ae836f ???????? ???????? ???????? ????????
21ae837f ???????? ???????? ???????? ????????
所以我疑惑了，感觉是不是不是1248*4不应该是乘以四？我感觉这也太大了。。。
翻一下资料Windows XP Build 2600 System Services 中索引编号是这样排列的：
0000~00FF
0100~011B
1000~1299
索引号并不是连续的，所以我感觉直接用1248*4十分不妥。
接着我直接数了NtUserValidateHandleSecure的顺位（第几个）
然后用dd 8080d8b0+顺位数*4，感觉也不对。
那就最后请问各位,如何找到索引编号为1248的函数NtUserValidateHandleSecure的地址？
[课程]Linux pwn 探索篇！
新手需要你们
