windows64位系统是否可以HOOK SSDT

elezone 2011-10-12 10:02:18

哪位大神能给讲解一下windows 64位系统是否可以通过驱动的方式HOOK SSDT来实现dll注入，最近需要移植32位的HOOK SSDT到64位下发现有问题，哪位大神给讲解一下！！！分数比较短缺大神们谅解。。。。

...全文

1055 2 打赏收藏转发到动态举报

写回复

2 条回复

切换为时间正序

请发表友善的回复…

发表回复

Henzox 2014-06-24

打赏
举报

回复

当然可以，不过事先你要破解掉 PG，PG 破解的实现已经公开了，你可以查一下。

KerneIX 2014-04-22

打赏
举报

回复

可以, 但目前不行....

在现代Windows操作系统中，驱动程序是连接硬件与系统内核的关键桥梁。随着Windows平台的不断演进，其驱动开发模型也经历了从早期的NT式驱动到WDM、再到KMDF与UMDF的抽象化发展。理解这些驱动模型的设计理念、运行机制以及彼此之间的差异，对于从事64位内核开发、安全研究或系统级软件工程的技术人员至关重要。本章将深入剖析Windows驱动生态的核心架构，重点聚焦于三种主流驱动模型——WDM、KMDF和UMDF，并结合实际开发场景，解析其底层逻辑与工程实践。

本文探讨了在32位与64位Windows系统中获取和分析SSDT（System Service Descriptor Table）基址的不同方法。在32位系统中，SSDT基址可直接通过导出的KeServiceDescriptorTable符号获取；而64位系统由于安全机制变化，需采用特殊技术手段，如通过MSR寄存器读取、特征码扫描内核映像或借助调试符号。文章还详细解析了64位SSDT中服务函数地址的计算方法，并提出了因地址范围限制而需使用跳转指令中转的Hook方案，包括12字节跳转代码结构和合适中转地址的选

在32位Windows中我们有很多定位SSDT的方法，最直接的就是利用导出符号来找到SSDT。再有就是通过在nt!KeAddSystemServiceTable函数中进行反汇编搜索。可是在64位WINDOWS中这两种方法都行不通。在64位Windows中不在导出SSDT了，同时nt！KeAddSystemServiceTable中也不再出SSDT了。这样要HOOK SSDT表就出现了第一个问题如何找到它？我想了三种思路。

64位下的SSDT HOOK与32位不同.由于SSDT服务表里面存放的只是函数的偏移,并且大小只有2的28次方. 无法直接跳转到指定的函数地址处,所以这里采用了先跳转到BugCheckEx函数,然后在BugCheckEx函数开头跳转到自己的处理函数中. BugCheckEx充当了一个跳板的作用. 代码在WIN7 64 7600版本中测试通过,卸载函数没有还原BugCheckEx函数的12字节有需要自己去还原一下吧. 注意在测试的时候点击进程,不要直接点应用程序图标. #include<ntddk

本文介绍了32位Windows系统中SSDT Hook的基本原理与实现方法。首先分析了Windows系统调用流程和SSDT表的作用机制，指出SSDT Hook在旧系统中的合法性与学习价值。接着详细讲解了如何获取系统调用号和SSDT表结构，包括32位与64位系统的差异。最后提供了两种绕过内存写保护的方法：通过修改CR0寄存器或使用MDL映射技术。文章强调虽然现代系统已加强保护，但理解这些底层机制对安全研究和驱动开发仍具有重要意义，可作为进一步学习系统内核保护与绕过的知识基础。

安全技术/病毒

9,513

社区成员

28,940

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章