恢复 shadow ssdt hook

Xor

代码见4楼。

Xor

主要问题：如何获取原shadow ssdt地址？问题已解决，代码见http://www.m5home.com/bbs/forum. ... =5836&pid=27959

Tesla.Angela

Xor 发表于 2011-8-18 16:41
主要问题：如何获取原shadow ssdt地址？

干嘛要用“赐”，“高抬贵手”，“小弟”之类的词语？
纯爷们为了一份代码用这些词语，值得吗？！
如果你在10年1月之前你这么问，我不怪你；
可是你在10年1月之后你这么问，只能怪你不会用搜索引擎了。。。
去看看PsNull 3的代码（VB写的，本站有下载），您就能得到满意的答案。。。
不过话也说回来，我当年为了解决同样的问题，花钱，求人，也是费了不少周章，才把代码弄到手的。。。

Xor

Tesla.Angela 发表于 2011-8-18 16:57
干嘛要用“赐”，“高抬贵手”，“小弟”之类的词语？
纯爷们为了一份代码用这些词语，值得吗？！
如 ...

谢谢，不过已经找到了

1. NTSTATUS RestoreShadow()
   
2. {
   
3.         NTSTATUS status;
   
4.         HANDLE hFile;//文件句柄
   
5.         OBJECT_ATTRIBUTES ObjAttr;
   
6.         UNICODE_STRING ustrWin32k;
   
7.         IO_STATUS_BLOCK ioStatus;
   
8.         ULONG ulShadowRaw = 0;
   
9.         ULONG ulShadowBase = 0;
   
10.         PVOID PoolArea = NULL;
    
11.         FILE_POSITION_INFORMATION fpi;
    
12.         LARGE_INTEGER Offset;
    
13.         ULONG OrigAddress = 0;
    
14.         ULONG CurAddress = 0;
    
15.         ULONG i = 0;
    
16.         ULONG ulCount = 0;
    
17.         PULONG pAddr;
    
18. 
    
19.         if ( pWin32kBase == NULL ||
    
20.                 KeServiceDescriptorTableShadow == NULL)
    
21.         {
    
22.                 dprintf("Error.");
    
23.                 return STATUS_UNSUCCESSFUL;
    
24.         }
    
25.         //索引为1的项目？
    
26. 
    
27.         ulCount = KeServiceDescriptorTableShadow[1].Limit;//Linit就是表中函数的个数
    
28. 
    
29.         dprintf("Count Of Shadow : %d\n", ulCount );
    
30. 
    
31.         ulShadowBase = *(ULONG*)&KeServiceDescriptorTableShadow[1].Base;//得到基址
    
32. 
    
33.         dprintf("ulShadowBase = 0x%X\n",ulShadowBase);
    
34.         //镜像中的偏移,file offset???
    
35.         ulShadowRaw = ulShadowBase - (ULONG)pWin32kBase;
    
36.         //ulShadowRaw = RVAToRaw(pWin32kBase,ulShadowBase);
    
37. 
    
38.         dprintf("ulShadowRaw = 0x%X\n",ulShadowRaw);
    
39. 
    
40.         RtlInitUnicodeString(&ustrWin32k, L"\\SystemRoot\\System32\\win32k.sys");
    
41.         //分配空间
    
42.         PoolArea = ExAllocatePool( PagedPool, sizeof(ULONG) * ulCount );
    
43.         //分配空间，用于保存读取到的数据，因为每个地址的长度sizeof(ULONG),个数是ulCount，所以相乘
    
44. 
    
45.         if (!PoolArea) {
    
46.                 dprintf("PoolArea is null\n");
    
47.                 return STATUS_UNSUCCESSFUL;
    
48.         }
    
49. 
    
50.         RtlZeroMemory(&ObjAttr, sizeof(ObjAttr) );
    
51.         //获取Win32k.sys的属性
    
52.         InitializeObjectAttributes(
    
53.                 &ObjAttr,
    
54.                 &ustrWin32k,
    
55.                 OBJ_KERNEL_HANDLE | OBJ_CASE_INSENSITIVE,
    
56.                 NULL,
    
57.                 NULL);
    
58.         //打开文件win32K.SYS
    
59.         status = IoCreateFile(
    
60.                 &hFile,
    
61.                 FILE_READ_ATTRIBUTES,
    
62.                 &ObjAttr,
    
63.                 &ioStatus,
    
64.                 0,
    
65.                 FILE_ATTRIBUTE_NORMAL,
    
66.                 FILE_SHARE_READ,
    
67.                 FILE_OPEN,
    
68.                 0,
    
69.                 NULL,
    
70.                 0,
    
71.                 0,
    
72.                 NULL,
    
73.                 IO_NO_PARAMETER_CHECKING);
    
74. 
    
75.         if ( !NT_SUCCESS(status) ) {
    
76.                 dprintf("IoCreateFile Error : 0x%X", status);
    
77.                 goto __exit;
    
78.         }
    
79. 
    
80.         //设置文件偏移
    
81.         Offset.LowPart = ulShadowRaw;
    
82.         Offset.HighPart = 0;
    
83.         //开始读取数据
    
84.         status = ZwReadFile (
    
85.                 hFile,
    
86.                 NULL,
    
87.                 NULL,
    
88.                 NULL,
    
89.                 &ioStatus,
    
90.                 //从文件读出到分配空间
    
91.                 PoolArea,
    
92.                 ulCount*sizeof(ULONG),
    
93.                 //偏移
    
94.                 &Offset,
    
95.                 NULL);
    
96. 
    
97.         if ( !NT_SUCCESS(status) ) {
    
98.                 dprintf("ZwReadFile Error : 0x%X");
    
99.                 goto __exit;
    
100.         }
     
101.         //改变指针类型
     
102.         pAddr = (PULONG)PoolArea;
     
103.         //比较原始地址与当前的地址并且输出调试
     
104.         _asm
     
105.         {
     
106.                 CLI
     
107.                 MOV EAX,CR0
     
108.                 AND EAX,NOT 10000H
     
109.                 MOV CR0,EAX
     
110.         }
     
111.         for (i=0;i<ulCount;i++) {
     
112.                 OrigAddress = *pAddr;//指向原始地址
     
113.                 CurAddress = KeServiceDescriptorTableShadow[1].Base[i];//读取当前地址
     
114.                 if ( OrigAddress != CurAddress ) {
     
115.                         dprintf("ID:%-3d.OrigAddr : 0x%X CurAddr : 0x%X---Hooked!\n",i,OrigAddress,CurAddress);
     
116.                         KeServiceDescriptorTableShadow[1].Base[i]=*pAddr;
     
117.                         dprintf("Already unhook!");
     
118.                 } else {
     
119.                         dprintf("ID:%-3d.OrigAddr : 0x%X.CurAddr : 0x%X\n",i,OrigAddress,CurAddress);
     
120.                 }
     
121.                 pAddr++;//指针指向下一个函数
     
122.         }
     
123.         _asm
     
124.         {
     
125.                 MOV EAX,CR0
     
126.                 OR EAX,10000h
     
127.                 MOV CR0,EAX
     
128.                 STI
     
129.         }
     
130. 
     
131. __exit:
     
132.         if (PoolArea) {
     
133.                 ExFreePool(PoolArea);
     
134.                 //释放空间
     
135.         }
     
136.         if (hFile) {
     
137.                 ZwClose(hFile);
     
138.                 //关闭句柄
     
139.         }
     
140.         return status;
     
141. }

复制代码

Tesla.Angela

楼主试试用我以前发的恢复Ring 0 Inline Hook的代码恢复一下Shadow SSDT Inline Hook。。。
注意要把win32k.sys复制一次才能LoadLibraryEx。。。

ok100fen

不错
标记一下

cainiaocai

:L