WIN10（32）寻找SHADOW表是不是需要什么特别的方法？

gfw

以前在XP上很好使的代码忽然从WIN10开始不能用了。注意是WIN10的32位，64位用TA的代码很好使。

Tesla.Angela

你说的SHADOW表，是指向SSSDT的PSYSTEM_SERVICE_TABLE类型的变量吧。
不知道你代码怎么写的，一般在KeServiceDescriptorTable的正负PAGE_SIZE范围内暴力搜索一下即可。

1. PUCHAR p=NULL;
   
2. PSYSTEM_SERVICE_TABLE KeServiceDescriptorTableWIN32K=NULL;
   
3. for(p=(PUCHAR)KeServiceDescriptorTable-PAGE_SIZE; p<(PUCHAR)KeServiceDescriptorTable+PAGE_SIZE; p++)
   
4. {
   
5.         if(p!=(PUCHAR)KeServiceDescriptorTable)
   
6.         {
   
7.                 if(memcmp(p, KeServiceDescriptorTable, sizeof(SYSTEM_SERVICE_TABLE))==0)
   
8.                 {
   
9.                         KeServiceDescriptorTableWIN32K = (PSYSTEM_SERVICE_TABLE)(p + sizeof(SYSTEM_SERVICE_TABLE));
   
10.                         break;
    
11.                 }
    
12.         }
    
13. }

复制代码

Krueger

我也在搜索一種方式/代碼，該傳統代碼（基於KeAddSystemServiceTable函數）不適用於Win10 32位。 PS：上面的TA代碼也不起作用。 還有其他建議嗎？

Tesla.Angela

Krueger 发表于 2020-7-29 02:30
我也在搜索一種方式/代碼，該傳統代碼（基於KeAddSystemServiceTable函數）不適用於Win10 32位。 PS：上面 ...

你获取地址的目的是为了HOOK吗？如果是的话，在WIN10上有简单的方式。

Krueger

您的建議以上經過一些測試和更改後才有效！ 我也在read.pudn中找到了另一個類似的代碼並且可以正常工作。

兩種確定的解決方案如下：

1º

1. typedef struct _SERVICE_DESCRIPTOR_TABLE
   
2. {
   
3.         PULONG ServiceTable;
   
4.         PULONG puCounterTable;
   
5.         ULONG uTableSize;
   
6.         PUCHAR pbArgumentTable;
   
7. } SERVICE_DESCRIPTOR_TABLE, *PSERVICE_DESCRIPTOR_TABLE;
   
8. 
   
9. extern "C" NTKERNELAPI SERVICE_DESCRIPTOR_TABLE KeServiceDescriptorTable;
   
10. 
    
11. //--------------------------- DriverEntry() -----------------------------
    
12. 
    
13. PUCHAR p = NULL;
    
14. PSERVICE_DESCRIPTOR_TABLE KeServiceDescriptorTableWIN32K = NULL;
    
15. 
    
16.         for (p = (PUCHAR)&KeServiceDescriptorTable - PAGE_SIZE; p < (PUCHAR)&KeServiceDescriptorTable + PAGE_SIZE; p++)
    
17.         {
    
18.                 if (p != (PUCHAR)&KeServiceDescriptorTable)
    
19.                 {
    
20.                         if (memcmp(p, &KeServiceDescriptorTable, sizeof(SERVICE_DESCRIPTOR_TABLE)) == 0)
    
21.                         {
    
22.                                 KeServiceDescriptorTableWIN32K = (PSERVICE_DESCRIPTOR_TABLE)p;
    
23.                                 break;
    
24.                         }
    
25.                 }
    
26.         }
    
27. 
    
28.         if (KeServiceDescriptorTableWIN32K)
    
29.         {
    
30.                 DbgPrint("KeServiceDescriptorTableWIN32K address = %X found! \n", KeServiceDescriptorTableWIN32K);
    
31.                 DbgPrint("KeServiceDescriptorTableWIN32K entries: %d \n", KeServiceDescriptorTableWIN32K[1].uTableSize);
    
32.         }
    
33.         else
    
34.                 DbgPrint("Error: Can't get KeServiceDescriptorTableWIN32K Address! \n");

复制代码

2º

1. BOOLEAN FindShadowTable()
   
2. {
   
3.         PSERVICE_DESCRIPTOR_TABLE KeServiceDescriptorTableShadow = NULL;
   
4.         ULONG Sdt = (ULONG)&KeServiceDescriptorTable;
   
5. 
   
6.         DbgPrint("KeServiceDescriptorTable = %X \n", Sdt);
   
7. 
   
8.         for (ULONG Shadow = Sdt - PAGE_SIZE; Shadow < Sdt + PAGE_SIZE; Shadow += sizeof(SERVICE_DESCRIPTOR_TABLE))
   
9.         {
   
10.                 if (MmIsAddressValid((PVOID)Shadow))
    
11.                 {
    
12.                         PSERVICE_DESCRIPTOR_TABLE ShadowPtr = (PSERVICE_DESCRIPTOR_TABLE)Shadow;
    
13. 
    
14.                         if (ShadowPtr != (PSERVICE_DESCRIPTOR_TABLE)&KeServiceDescriptorTable &&
    
15.                                 ShadowPtr->ServiceTable == KeServiceDescriptorTable.ServiceTable &&
    
16.                                 ShadowPtr->pbArgumentTable == KeServiceDescriptorTable.pbArgumentTable &&
    
17.                                 ShadowPtr->uTableSize == KeServiceDescriptorTable.uTableSize)
    
18.                         {
    
19.                                 KeServiceDescriptorTableShadow = ShadowPtr;
    
20.                                 DbgPrint("KeServiceDescriptorTableShadow = %X \n", KeServiceDescriptorTableShadow);
    
21.                                 DbgPrint("KeServiceDescriptorTableShadow entries: %d \n", KeServiceDescriptorTableShadow[1].uTableSize);
    
22.                                 return TRUE;
    
23.                         }
    
24.                 }
    
25.         }
    
26.         return FALSE;
    
27. }

复制代码