有





偶想学  偶想学

交学费

国家政策  义务教育特殊困难户可免学杂费

跟SSDT一样....

SSDT 的 函数是有导出的
shadow 是没有吧
因为  用vatoRAW 一用就bsod了

搜zhuwg的帖子。。。

原理是一样的...只是多个找KeServiceDescriptorTableShadow
摘了段yas kit 驱动的代码

/*-----------------------------------------------------------*/
//目前XP和2K3都可以,但不排除其他版本也是这样
//NumberOfservice :用于返回服务数目
//返回值: ShadowTableBaseAddress
/*------------------------------------------------------------*/
ULONG GetShadowTableBaseAddress(IN OUT ULONG* NumberOfservice)
{
        /*
        lkd> u
        nt!KeAddSystemServiceTable+0x18:
        805a10a2 7551            jne     nt!KeAddSystemServiceTable+0x6b (805a10f5)
        805a10a4 8d88a0c65580    lea     ecx,nt!KeServiceDescriptorTableShadow (8055c6a0)[eax]  ---->>>
        */
       
        BYTE* FunctionAddress;
        BYTE* CurrentAddress;
        ULONG tempAddr,TableShadowAddress = 0;
       
        FunctionAddress=(BYTE*)KeAddSystemServiceTable;
        for(CurrentAddress=FunctionAddress;CurrentAddress<FunctionAddress+0x100; CurrentAddress++)
        {
                if(MmIsAddressValid((BYTE*)CurrentAddress))
                if(*(BYTE*)CurrentAddress==0x8d&&*(BYTE*)(CurrentAddress+1)==0x88)
                {
                                tempAddr = *(ULONG*)(CurrentAddress+2);
                        TableShadowAddress = ((ULONG*)tempAddr)[4];
                        *NumberOfservice = ((ULONG*)tempAddr)[6];
                                                break;
                }
       
        }
        return TableShadowAddress;
}

bujin888,我能否加下你的QQ.可以吗?我的QQ:87262886

感谢10楼  但是这个方法偶知道,这个方法无法获取已经被HOOK的函数的原始地址

这个是指向当前的SHADOW TABLE 而不是没改动前的

汗...你不懂我的意思..有这个地址就可以计算读磁盘文件获取原始地址了....

读文件就可以了

请先读读偶的破文章好不好啊。

偶感觉你完全不会的说。。似乎你没明白table怎么运作的
似乎你根本就是简单的套用别人的代码。。而不去自己理解

原理很简单。。得到了内存中的地址。然后去读文件比较呗
如果你不懂 先补补内核基础知识吧

要学会举一反三，网上没有现成的代码，让你用。

顶猪乌龟同学

偶的确在10天前刚接触驱动这个东西,人又笨  入门还没有

"得到了内存中的地址。然后去读文件比较呗"  这个我会 没想到这点  太苯了   已经解决问题 结贴

说明你的文章写的不够好,即使读者是一个完全不懂的人,你也应该写的让其完全能懂,所以写的再详细点吧,嘿嘿.....

20  2008-12-29, 10:53      

--------------------------------------------------------------------------------
说明你的文章写的不够好,即使读者是一个完全不懂的人,你也应该写的让其完全能懂,所以写的再详细点吧,嘿嘿.....

这才是大学家，那一天你写的东东像你说的那样，.....

跟SSDT一摸一样

这种方法不错