与SSDT有关，但本质应该是C++指针问题

2013-02-22 10:47:28 276 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

代码注入与Hook技术：原理、实现与安全应用代码注入和Hook技术是系统级编程中的关键技术，通过在运行时动态修改程序行为实现功能扩展或监控。代码注入涉及将外部代码加载到目标进程空间，常见技术包括DLL注入和LD_PRELOAD劫持；Hook技术则通过拦截函数调用实现行为监控，分为Inline Hook、IAT Hook和VMT Hook等类型。这些技术在安全防护、性能分析和软件调试等领域有重要应用价值，如杀毒软件的行为监控、APM系统的性能分析等。以Windows平台的Detours库和Linux的LD_PRELOAD机制为例，开发者可以高效实现AP 阅读详情

一般SSDT HOOK的代码如下
#pragma pack(1)
typedef struct ServiceDescriptorEntry {
unsigned int *ServiceTableBase;
unsigned int *ServiceCounterTableBase; //Used only in checked build
unsigned int NumberOfServices;
unsigned char *ParamTableBase;
} ServiceDescriptorTableEntry, *PServiceDescriptorTableEntry;
#pragma pack()

extern "C" ServiceDescriptorTableEntry KeServiceDescriptorTable;

现在已经验证如下代码（HOOK1）能够成功HOOK：
ULONG index = *(PUCHAR)((PUCHAR)ZwOpenProcess+1);
ULONG ulBaseAddr = *(KeServiceDescriptorTable.ServiceTableBase);
PULONG SSDT_NTOpenProcess = (PULONG)(ulBaseAddr + index*4);
OldZwOpenProcess = (ZWOPENPROCESS)(*SSDT_NTOpenProcess) ;
*SSDT_NTOpenProcess = (unsigned long)NewZwOpenProcess;

index就是表索引，用SB代替KeServiceDescriptorTable.ServiceTableBase，那么HOOK1代码里通过对SB使用*取值获得表地址。

但很多SSDT HOOK的代码并不是这么计算的，而是用一个这样的宏#define SYSTEMSERVICE(_function) KeServiceDescriptorTable.ServiceTableBase[*(PUCHAR)((PUCHAR)_function+1)]

该宏的中心应该是通过对SB[index]来获得表元素。

我的问题是不能理解SB既可以*SB取得表地址，又可以SB[index]获得表元素。想做一个简单的模拟都不成功，比如int Table[3] = {1,2,3};PUING pt = Table;那么pt[x]可以取表元素没有错，但*pt则不是表地址。如果是二级指针的话，*能得到表地址，但[]却不是表元素。

...全文