首页
论坛
课程
招聘
[求助]Win7下IDT hook求助
2011-4-1 16:33 8168

[求助]Win7下IDT hook求助

2011-4-1 16:33
8168
先上代码

#pragma pack(1)
typedef struct
{
  unsigned short LowOffset;
  unsigned short selector;
  unsigned char unused_lo;
  unsigned char segment_type:4;  //0x0E is an interrupt gate
  unsigned char system_segment_flag:1;
  unsigned char DPL:2;  // descriptor privilege level 
  unsigned char P:1; /* present */
  unsigned short HiOffset;
} IDTENTRY;

/* sidt returns idt in this format */
typedef struct
{
  unsigned short IDTLimit;
  unsigned short LowIDTbase;
  unsigned short HiIDTbase;
}IDTINFO;

#pragma pack()

#define MAKELONG(a, b) ((unsigned long) (((unsigned short) (a)) | ((unsigned long) ((unsigned short) (b))) << 16)) 

typedef VOID (*pfnKeSetAffinityThread)(IN PKTHREAD pKThread, IN KAFFINITY Affinity);

//修改IDT isr
BOOLEAN IDTHook_Modify(ULONG ulIndex, ULONG ulHookFuncAddr)
{
  ULONG ulProcessors = KeNumberProcessors;
  KIRQL irql;
  IDTINFO IdtInfo;
  IDTENTRY *pIdtEntry = NULL;
  pfnKeSetAffinityThread KeSetAffinityThread = NULL;
  UNICODE_STRING ustrKeSetAffinityThread;

  RtlInitUnicodeString(&ustrKeSetAffinityThread, L"KeSetAffinityThread");
  KeSetAffinityThread = (pfnKeSetAffinityThread)MmGetSystemRoutineAddress(&ustrKeSetAffinityThread);
  if (KeSetAffinityThread == NULL)
  {
    return FALSE;
  }

  while (ulProcessors)
  {
    PMDL pMdlForIDT = NULL;
    IDTENTRY *pTempIdt = NULL;

    KeSetAffinityThread(KeGetCurrentThread(), ulProcessors);
    KeRaiseIrql(HIGH_LEVEL, &irql);
    
    //此处修改IDT 项
    __asm sidt IdtInfo
    pIdtEntry = MAKELONG(IdtInfo.LowIDTbase, IdtInfo.HiIDTbase);

    pMdlForIDT = MmCreateMdl(NULL, &pIdtEntry[ulIndex], sizeof(IDTENTRY));

    MmBuildMdlForNonPagedPool(pMdlForIDT);
    pMdlForIDT->MdlFlags = pMdlForIDT->MdlFlags | MDL_MAPPED_TO_SYSTEM_VA;
    pTempIdt = MmGetSystemAddressForMdlSafe(pMdlForIDT, NormalPagePriority);
    if (!MmIsAddressValid(pTempIdt))
    {
      KdPrint(("地址无效\r\n"));
    }

    __asm cli;

    pTempIdt->HiOffset = (USHORT)(ulHookFuncAddr >> 16);
    pTempIdt->LowOffset = (USHORT)ulHookFuncAddr;

    __asm sti;

    MmUnmapLockedPages(pTempIdt, pMdlForIDT);
    IoFreeMdl(pMdlForIDT);

    KeLowerIrql(&irql);
    ulProcessors--;
  }

  return TRUE;
}

pTempIdt->HiOffset = (USHORT)(ulHookFuncAddr >> 16);
此处bsod,求解释. pTempIdt正确

[培训] 优秀毕业生寄语:恭喜id咸鱼炒白菜拿到远超3W月薪的offer,《安卓高级研修班》火热招生!!!

收藏
点赞0
打赏
分享
最新回复 (6)
雪    币: 40
活跃值: 活跃值 (41)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
creakerzgz 活跃值 1 2011-4-1 17:08
2
0
自己顶起来,坐等真相
雪    币: 203
活跃值: 活跃值 (90)
能力值: ( LV11,RANK:188 )
在线值:
发帖
回帖
粉丝
XPoy 活跃值 3 2011-4-1 20:37
3
0
/:^S
selector是在第二个位置,HignOffset是在最后一位的?
我记得IDT的struct Offset是一个和ULONG在同样union的结构啊。

我记错了
不是这个问题:

typedef struct _KIDTENTRY        // 4 elements, 0x8 bytes (sizeof)
          {
/*0x000*/     UINT16       Offset;
/*0x002*/     UINT16       Selector;
/*0x004*/     UINT16       Access;
/*0x006*/     UINT16       ExtendedOffset;
          }KIDTENTRY, *PKIDTENTRY;

唔,其实我一点点不知道驱动。我觉得是
pTempIdt直接equ  &pIdtEntry[ulIndex]就可以了?
而且这个没有mappages,是不能MmUnmapLockedPages的吧 (?)
雪    币: 2
活跃值: 活跃值 (15)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Prochg 活跃值 2011-4-2 04:52
4
0
pMdlForIDT = MmCreateMdl(NULL, &pIdtEntry[ulIndex], sizeof(IDTENTRY));

    MmBuildMdlForNonPagedPool(pMdlForIDT);
    pMdlForIDT->MdlFlags = pMdlForIDT->MdlFlags | MDL_MAPPED_TO_SYSTEM_VA;
    pTempIdt = MmGetSystemAddressForMdlSafe(pMdlForIDT, NormalPagePriority);

在调用MmGetSystemAddressForMdlSafe前先MmProbeAndLockPages成IoWrite
雪    币: 68
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
sunnywwc 活跃值 2011-4-2 11:17
5
0
不错 保存收藏~
雪    币: 40
活跃值: 活跃值 (41)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
creakerzgz 活跃值 1 2011-4-2 11:26
6
0
无果。。。不过还是谢谢LS的和LS的LS的
雪    币: 40
活跃值: 活跃值 (41)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
creakerzgz 活跃值 1 2011-4-2 11:35
7
0
继续等高手解答
游客
登录 | 注册 方可回帖
返回