前天看到一篇同样标题的文章（我转载到其他地方也被BS），但后来被作者删了，我也来一篇共勉一下。

    SSDT HOOK是个很古老的话题了，基本上是ring0 rookit入门的第一课。我们先来重温一下系统服务表结构：
   

typedef struct _SERVICE_DESCRIPTOR_TABLE_SHADOW 
{
	SERVICE_DESCRIPTOR_TABLE  ntoskrnl;  //ntoskrnl.exe
	SERVICE_DESCRIPTOR_TABLE  win32k;    //win32k.sys 
  SERVICE_DESCRIPTOR_TABLE  NotUse1;   //未使用
	SERVICE_DESCRIPTOR_TABLE  NotUse2;   //未使用
}SERVICE_DESCRIPTOR_TABLE_SHADOW,*PSERVICE_DESCRIPTOR_TABLE_SHADOW;

inc     large dword ptr fs:638h //<--这里是用来纪录system calls的，没太大用处，可以替换掉
mov     esi, edx
mov     ebx, [edi+0Ch]          //<--edi保存的就是服务表中的ntoskrnl或者win32k
xor     ecx, ecx
mov     cl, [eax+ebx]
mov     edi, [edi]
mov     ebx, [edi+eax*4]
sub     esp, ecx
shr     ecx, 2
mov     edi, esp
cmp     esi, ds:_MmUserProbeAddress
//上面代码是XP系统的，其他windows系统也有类似代码

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课