弱弱的问下 WIN64 SSDT

xiaoc1026

在论坛里开放的WIN64 枚举SSDT 中

1. VOID GetNtosBase()
   
2. {
   
3.         char FileName[260]={0},*FullName;
   
4.         NtosBase=GetNtosBaseAndPath(FileName);
   
5.         FullName=cs("C:\\Windows\\system32\",FileName);
   
6.         strcpy(NtosName,FullName);
   
7.         printf("NTOSKRNL base: %llx\n",NtosBase);
   
8.         printf("NTOSKRNL name: %s\n",NtosName);
   
9. }
   

复制代码

这里提到的 GetNtosBaseAndPath 函数是肿么实现的？

Tesla.Angela

用ZwQuerySystemInformation枚举内核模块。

xiaoc1026

Tesla.Angela 发表于 2013-1-5 14:48
用ZwQuerySystemInformation枚举内核模块。

继续问，ZwQuerySystemInformation 结果是 ntkrnlmp.exe 这个怎么得来的？

Tesla.Angela

xiaoc1026 发表于 2013-1-5 14:51
继续问，ZwQuerySystemInformation 结果是 ntkrnlmp.exe 这个怎么得来的？

随便贴一份驱动里枚举内核模块的代码给你，会不会用就看你自己了：

1. #define kprintf                DbgPrint
   
2. #define kmalloc(_s)        ExAllocatePoolWithTag(NonPagedPool, _s, 'SYSQ')
   
3. #define kfree(_p)        ExFreePool(_p)
   
4. 
   
5. NTSYSAPI NTSTATUS NTAPI ZwQuerySystemInformation
   
6. (
   
7.         IN ULONG        SystemInformationClass,
   
8.         OUT PVOID        SystemInformation,
   
9.         IN ULONG        Length,
   
10.         OUT PULONG        ReturnLength
    
11. );
    
12. 
    
13. void GetKernelModuleBase(char* lpModuleName, ULONG64 *ByRefBase, ULONG *ByRefSize)
    
14. {
    
15.         typedef struct _SYSTEM_MODULE_INFORMATION_ENTRY
    
16.         {
    
17.                 ULONG Unknow1;
    
18.                 ULONG Unknow2;
    
19.                 ULONG Unknow3;
    
20.                 ULONG Unknow4;
    
21.                 PVOID Base;
    
22.                 ULONG Size;
    
23.                 ULONG Flags;
    
24.                 USHORT Index;
    
25.                 USHORT NameLength;
    
26.                 USHORT LoadCount;
    
27.                 USHORT ModuleNameOffset;
    
28.                 char ImageName[256];
    
29.         } SYSTEM_MODULE_INFORMATION_ENTRY, *PSYSTEM_MODULE_INFORMATION_ENTRY;
    
30.         typedef struct _SYSTEM_MODULE_INFORMATION
    
31.         {
    
32.                 ULONG Count;//内核中以加载的模块的个数
    
33.                 SYSTEM_MODULE_INFORMATION_ENTRY Module[1];
    
34.         } SYSTEM_MODULE_INFORMATION, *PSYSTEM_MODULE_INFORMATION;
    
35.         typedef struct _KLDR_DATA_TABLE_ENTRY
    
36.         {
    
37.                 LIST_ENTRY64 InLoadOrderLinks;
    
38.                 ULONG64 __Undefined1;
    
39.                 ULONG64 __Undefined2;
    
40.                 ULONG64 __Undefined3;
    
41.                 ULONG64 NonPagedDebugInfo;
    
42.                 ULONG64 DllBase;
    
43.                 ULONG64 EntryPoint;
    
44.                 ULONG SizeOfImage;
    
45.                 UNICODE_STRING FullDllName;
    
46.                 UNICODE_STRING BaseDllName;
    
47.                 ULONG   Flags;
    
48.                 USHORT  LoadCount;
    
49.                 USHORT  __Undefined5;
    
50.                 ULONG64 __Undefined6;
    
51.                 ULONG   CheckSum;
    
52.                 ULONG   __padding1;
    
53.                 ULONG   TimeDateStamp;
    
54.                 ULONG   __padding2;
    
55.         }KLDR_DATA_TABLE_ENTRY, *PKLDR_DATA_TABLE_ENTRY;
    
56.     ULONG NeedSize, i, ModuleCount, BufferSize = 0x5000;
    
57.     PVOID pBuffer = NULL;
    
58.         PCHAR pDrvName = NULL;
    
59.     NTSTATUS Result;
    
60.     PSYSTEM_MODULE_INFORMATION pSystemModuleInformation;
    
61.     do
    
62.     {
    
63.         //分配内存
    
64.         pBuffer = kmalloc( BufferSize );
    
65.         if( pBuffer == NULL )
    
66.             return;
    
67.         //查询模块信息
    
68.         Result = ZwQuerySystemInformation( 11, pBuffer, BufferSize, &NeedSize );
    
69.         if( Result == STATUS_INFO_LENGTH_MISMATCH )
    
70.         {
    
71.             kfree( pBuffer );
    
72.             BufferSize *= 2;
    
73.         }
    
74.         else if( !NT_SUCCESS(Result) )
    
75.         {
    
76.             //查询失败则退出
    
77.             kfree( pBuffer );
    
78.             return;
    
79.         }
    
80.     }
    
81.     while( Result == STATUS_INFO_LENGTH_MISMATCH );
    
82.     pSystemModuleInformation = (PSYSTEM_MODULE_INFORMATION)pBuffer;
    
83.         //获得模块的总数量
    
84.     ModuleCount = pSystemModuleInformation->Count;
    
85.         //遍历所有的模块
    
86.     for( i = 0; i < ModuleCount; i++ )
    
87.         {
    
88.                 if((ULONG64)(pSystemModuleInformation->Module[i].Base) > (ULONG64)0x8000000000000000)
    
89.                 {
    
90.                         pDrvName = pSystemModuleInformation->Module[i].ImageName+pSystemModuleInformation->Module[i].ModuleNameOffset;
    
91.                         if( _stricmp(pDrvName,lpModuleName)==0 )
    
92.                         {
    
93.                                 *ByRefBase = (ULONG64)pSystemModuleInformation->Module[i].Base;
    
94.                                 *ByRefSize = pSystemModuleInformation->Module[i].Size;
    
95.                                 goto exit_sub;
    
96.                         }
    
97.                 }
    
98.         }
    
99. exit_sub:
    
100.         kfree(pBuffer);
     
101. }

复制代码

xiaoc1026

Tesla.Angela 发表于 2013-1-5 15:14
随便贴一份驱动里枚举内核模块的代码给你，会不会用就看你自己了：

感谢老大分享

k1e0a2v5

Tesla.Angela 发表于 2013-1-5 15:14
随便贴一份驱动里枚举内核模块的代码给你，会不会用就看你自己了：

很有用的介紹

kk1025

Tesla.Angela 发表于 2013-1-5 15:14
随便贴一份驱动里枚举内核模块的代码给你，会不会用就看你自己了：

真的很實用

飞跃

会蓝屏吗。这样做