老掉牙的无驱动恢复SSDT

diddom

1. // RestoreSSDT.cpp : Defines the entry point for the console application.
   
2. ////無驅動回復SSDT
   
3. 
   
4. //#include "stdafx.h"
   
5. #include <stdio.h>
   
6. #include <tchar.h>
   
7. #include <windows.h>
   
8. #include <shlwapi.h>
   
9. #include <iostream>
   
10. using namespace std;
    
11. 
    
12. typedef LONG NTSTATUS;
    
13. 
    
14. #define SystemModuleInfo        11
    
15. #define RVATOVA(base,offset) ((PVOID)((DWORD)(base)+(DWORD)(offset)))   
    
16. #define STATUS_INFO_LENGTH_MISMATCH      ((NTSTATUS)0xC0000004L)   
    
17. #define NT_SUCCESS(Status) ((NTSTATUS)(Status) >= 0)
    
18. #define ibaseDD *(PDWORD)&ibase
    
19. 
    
20. typedef struct {  
    
21.     WORD    offset:12;  
    
22.     WORD    type:4;  
    
23. } IMAGE_FIXUP_ENTRY, *PIMAGE_FIXUP_ENTRY;
    
24. 
    
25. 
    
26. typedef struct _MEMORY_CHUNKS {  
    
27.     ULONG Address;  
    
28.     PVOID Data;  
    
29.     ULONG Length;  
    
30. } MEMORY_CHUNKS, *PMEMORY_CHUNKS;  
    
31. 
    
32. 
    
33. typedef struct _SYSTEM_MODULE_INFORMATION {//Information Class 11   
    
34.     ULONG    Reserved[2];  
    
35.     PVOID    Base;  
    
36.     ULONG    Size;  
    
37.     ULONG    Flags;  
    
38.     USHORT    Index;  
    
39.     USHORT    Unknown;  
    
40.     USHORT    LoadCount;  
    
41.     USHORT    ModuleNameOffset;  
    
42.     CHAR    ImageName[256];  
    
43. } SYSTEM_MODULE_INFORMATION, *PSYSTEM_MODULE_INFORMATION;  
    
44. 
    
45. 
    
46. typedef struct {  
    
47.     DWORD    dwNumberOfModules;  
    
48.     SYSTEM_MODULE_INFORMATION    smi;  
    
49. } MODULES, *PMODULES;  
    
50. 
    
51. 
    
52. typedef struct _tagSSDT {  
    
53.     PVOID pvSSDTBase;  
    
54.     PVOID pvServiceCounterTable;  
    
55.     ULONG ulNumberOfServices;  
    
56.     PVOID pvParamTableBase;  
    
57. } SSDT, *PSSDT;
    
58. 
    
59. 
    
60. typedef
    
61. NTSTATUS
    
62. (WINAPI *PFNNtQuerySystemInformation)(      
    
63.     DWORD    SystemInformationClass,  
    
64.     PVOID    SystemInformation,  
    
65.     ULONG    SystemInformationLength,  
    
66.     PULONG    ReturnLength  
    
67.     );
    
68. 
    
69. //typedef
    
70. //NTSTATUS
    
71. //(WINAPI *NTSystemDebugControl)(
    
72.         //IN int nCmd,  
    
73.         //IN PVOID pInBuf,  
    
74.         //IN ULONG nInLen,   
    
75.         //OUT PVOID pOutBuf,  
    
76.         //IN ULONG nOutLen,  
    
77.         //OUT PULONG nRetLen OPTIONAL
    
78.         //);
    
79. 
    
80. 
    
81. //typedef
    
82. NTSTATUS
    
83. (__stdcall *NTSystemDebugControl)(
    
84.         IN int nCmd,  
    
85.         IN PVOID pInBuf,  
    
86.         IN ULONG nInLen,   
    
87.         OUT PVOID pOutBuf,  
    
88.         IN ULONG nOutLen,  
    
89.         OUT PULONG nRetLen OPTIONAL
    
90.         );
    
91. 
    
92. ///////////////////////////////////////////////////////////
    
93. 
    
94. ULONG pBase = NULL;
    
95. 
    
96. ///////////////////////////////////////////////////////////
    
97. //
    
98. //
    
99. VOID SetProc(IN ULONG ulIndex, IN PULONG buf )  
    
100. {  
     
101.     MEMORY_CHUNKS datas;  
     
102.     ULONG dwRetLen;  
     
103.     datas.Address =(ULONG)pBase + (ulIndex*4);  
     
104.     datas.Data = buf;  
     
105.     datas.Length = sizeof(LONG);  
     
106.     NTSystemDebugControl(0x9, &datas, sizeof(MEMORY_CHUNKS), NULL, 0, &dwRetLen);  
     
107.       
     
108. }  
     
109. 
     
110. ///////////////////////////////////////////////////////////
     
111. //
     
112. //
     
113. DWORD GetHeaders(
     
114.         PCHAR ibase,  
     
115.         PIMAGE_FILE_HEADER *pfh,  
     
116.         PIMAGE_OPTIONAL_HEADER *poh,  
     
117.         PIMAGE_SECTION_HEADER *psh)  
     
118. {  
     
119.     PIMAGE_DOS_HEADER mzhead = (PIMAGE_DOS_HEADER) ibase;  
     
120.       
     
121.     if ((mzhead->e_magic != IMAGE_DOS_SIGNATURE) || (ibaseDD[mzhead->e_lfanew] != IMAGE_NT_SIGNATURE))  
     
122.         return FALSE;  
     
123.       
     
124.     *pfh = (PIMAGE_FILE_HEADER)&ibase[mzhead->e_lfanew];
     
125. 
     
126.     if (((PIMAGE_NT_HEADERS)*pfh)->Signature != IMAGE_NT_SIGNATURE)   
     
127.         return FALSE;
     
128. 
     
129.     *pfh = (PIMAGE_FILE_HEADER)((PBYTE) *pfh + sizeof(IMAGE_NT_SIGNATURE));
     
130.       
     
131.     *poh = (PIMAGE_OPTIONAL_HEADER)((PBYTE) *pfh + sizeof(IMAGE_FILE_HEADER));
     
132. 
     
133.     if ((*poh)->Magic != IMAGE_NT_OPTIONAL_HDR32_MAGIC)
     
134.         return FALSE;
     
135. 
     
136.     *psh = (PIMAGE_SECTION_HEADER)((PBYTE)*poh+sizeof(IMAGE_OPTIONAL_HEADER));
     
137. 
     
138.     return TRUE;
     
139. }  
     
140. 
     
141. 
     
142. ///////////////////////////////////////////////////////////
     
143. //
     
144. //
     
145. DWORD FindKiServiceTable(HMODULE hModule,DWORD dwKSDT)  
     
146. {  
     
147.     PIMAGE_FILE_HEADER    pfh;  
     
148.     PIMAGE_OPTIONAL_HEADER    poh;  
     
149.     PIMAGE_SECTION_HEADER    psh;  
     
150.     PIMAGE_BASE_RELOCATION    pbr;  
     
151.     PIMAGE_FIXUP_ENTRY    pfe;   
     
152.      
     
153.     DWORD    dwFixups=0,i,dwPointerRva,dwPointsToRva,dwKiServiceTable;
     
154.     BOOL    bFirstChunk;  
     
155.     GetHeaders((PCHAR)hModule,&pfh,&poh,&psh);  
     
156. 
     
157.     // loop thru relocs to speed up the search   
     
158.     if ((poh->DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].VirtualAddress) &&  
     
159.         (!((pfh->Characteristics)&IMAGE_FILE_RELOCS_STRIPPED)))
     
160.         {  
     
161.          
     
162.         pbr = (PIMAGE_BASE_RELOCATION)RVATOVA(poh->DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC].VirtualAddress,hModule);  
     
163.         
     
164.                 bFirstChunk = TRUE;
     
165. 
     
166.         // 1st IMAGE_BASE_RELOCATION.VirtualAddress of ntoskrnl is 0   
     
167.         while (bFirstChunk || pbr->VirtualAddress)
     
168.                 {  
     
169.             bFirstChunk = FALSE;
     
170.             pfe = (PIMAGE_FIXUP_ENTRY)((DWORD)pbr+sizeof(IMAGE_BASE_RELOCATION));
     
171. 
     
172.             for (i=0; i < (pbr->SizeOfBlock-sizeof(IMAGE_BASE_RELOCATION)) >> 1; i++, pfe++)
     
173.                         {
     
174.                 if (pfe->type==IMAGE_REL_BASED_HIGHLOW)
     
175.                                 {  
     
176.                     dwFixups++;  
     
177.                     dwPointerRva=pbr->VirtualAddress+pfe->offset;  
     
178.                     // DONT_RESOLVE_DLL_REFERENCES flag means relocs aren't fixed   
     
179.                     dwPointsToRva=*(PDWORD)((DWORD)hModule+dwPointerRva)-(DWORD)poh->ImageBase;  
     
180.                     // does this reloc point to KeServiceDescriptorTable.Base?   
     
181.                     if (dwPointsToRva==dwKSDT)
     
182.                                         {  
     
183.                         // check for mov [mem32],imm32. we are trying to find   
     
184.                         // "mov ds:_KeServiceDescriptorTable.Base, offset _KiServiceTable"   
     
185.                         // from the KiInitSystem.   
     
186.                         if (*(PWORD)((DWORD)hModule + dwPointerRva-2) == 0x05c7)
     
187.                                                 {  
     
188.                             // should check for a reloc presence on KiServiceTable here   
     
189.                             // but forget it   
     
190.                             dwKiServiceTable = *(PDWORD)((DWORD)hModule+dwPointerRva+4)-poh->ImageBase;  
     
191.                             return dwKiServiceTable;  
     
192.                         }  
     
193.                     }  
     
194.                      
     
195.                 } else {
     
196.                     if (pfe->type!=IMAGE_REL_BASED_ABSOLUTE)
     
197.                                         {
     
198.                         // should never get here   
     
199.                                                 // printf("/trelo type %d found at .%X/n",pfe->type,pbr->VirtualAddress+pfe->offset);
     
200.                                         }
     
201.                                 }
     
202. 
     
203.             } // end for
     
204. 
     
205.             *(PDWORD)&pbr+=pbr->SizeOfBlock;
     
206. 
     
207.         }  // end while
     
208. 
     
209.     } // end if
     
210.       
     
211.     if (!dwFixups)
     
212.         {
     
213.         // should never happen - nt, 2k, xp kernels have relocation data   
     
214.                 // printf("No fixups!/n");
     
215.         }
     
216.     return 0;  
     
217. }
     
218. 
     
219. 
     
220. ///////////////////////////////////////////////////////////
     
221. //
     
222. //
     
223. void ReSSDT()  
     
224. {
     
225.         //MEMORY_CHUNKS        datas;
     
226.         HMODULE                        hKernel;
     
227.         DWORD                        dwRetLen = 1024 * 800;  
     
228.         PLONG                        KernelBase = NULL;      
     
229.         DWORD                        dwKSDT;                                        // rva of KeServiceDescriptorTable   
     
230.         DWORD                        dwKiServiceTable;                // rva of KiServiceTable   
     
231. 
     
232.     PMODULES    pModules=(PMODULES)&pModules;  
     
233.     DWORD                dwNeededSize, rc;  
     
234.     DWORD                dwKernelBase, dwServices = 0;  
     
235.     PCHAR                pKernelName;  
     
236.     PDWORD                pService;
     
237. 
     
238.     PIMAGE_FILE_HEADER                        pfh;
     
239.     PIMAGE_OPTIONAL_HEADER                poh;
     
240.     PIMAGE_SECTION_HEADER                psh;
     
241. 
     
242.         GetProcAddress(LoadLibrary("NTDLL.DLl"), "NtSystemDebugControl");
     
243. 
     
244.         __asm
     
245.         {
     
246.                 MOV NTSystemDebugControl, EAX
     
247.         }
     
248. 
     
249.     FARPROC NtQuerySystemInformationAddr = GetProcAddress(GetModuleHandle("ntdll.dll"), "NtQuerySystemInformation");
     
250. 
     
251.     // get system modules - ntoskrnl is always first there
     
252.     rc = ((PFNNtQuerySystemInformation)NtQuerySystemInformationAddr)(SystemModuleInfo, pModules, 4, &dwNeededSize);
     
253. 
     
254.     if (rc == STATUS_INFO_LENGTH_MISMATCH)
     
255.         {
     
256.         pModules = (MODULES *) GlobalAlloc(GPTR, dwNeededSize);
     
257.         rc = ((PFNNtQuerySystemInformation) NtQuerySystemInformationAddr)(SystemModuleInfo, pModules, dwNeededSize, NULL);
     
258.         }
     
259.         else
     
260.         {
     
261. strange:
     
262.         //    printf("Can't Get NtQuerySystemInformation()!/n");
     
263.         return;
     
264.     }
     
265. 
     
266.     if (!NT_SUCCESS(rc)) goto strange;  
     
267.       
     
268.     // imagebase
     
269.     dwKernelBase = (DWORD)pModules->smi.Base;
     
270. 
     
271.     // filename - it may be renamed in the boot.ini
     
272.     pKernelName = pModules->smi.ModuleNameOffset + pModules->smi.ImageName;
     
273. 
     
274.     // map ntoskrnl - hopefully it has relocs
     
275.     hKernel = LoadLibraryEx(pKernelName, 0, DONT_RESOLVE_DLL_REFERENCES);
     
276. 
     
277.     if (!hKernel)
     
278.         {
     
279.         //      printf("Load Driver Fail! LastError=%i/n",GetLastError());
     
280.                 return;
     
281.         }
     
282. 
     
283.     GlobalFree(pModules);
     
284. 
     
285.     // our own export walker is useless here - we have GetProcAddress :)      
     
286.     if (!(dwKSDT = (DWORD)GetProcAddress(hKernel, "KeServiceDescriptorTable")))
     
287.         {
     
288. 
     
289.         //       printf("Can't Get KeServiceDescriptorTable/n");   
     
290.         return;
     
291.     }
     
292. 
     
293.     // get KeServiceDescriptorTable rva   
     
294.     dwKSDT -= (DWORD)hKernel;
     
295. 
     
296.     // find KiServiceTable
     
297.     if (!(dwKiServiceTable = FindKiServiceTable(hKernel,dwKSDT)))
     
298.         {
     
299.     //    printf("Can't Get KiServiceTable.../n");
     
300.         return;
     
301.     }
     
302. 
     
303.         // printf("&KiServiceTable==%08X/n/nDumping 'old' ServiceTable:/n/n",dwKiServiceTable+dwKernelBase);
     
304.     pBase=(ULONG)dwKiServiceTable+dwKernelBase;
     
305.     // let's dump KiServiceTable contents
     
306. 
     
307.     // MAY FAIL!!!
     
308.     GetHeaders((PCHAR)hKernel, &pfh, &poh, &psh);
     
309. 
     
310.     for (pService=(PDWORD)((DWORD)hKernel + dwKiServiceTable);
     
311.         *pService - poh->ImageBase < poh->SizeOfImage;
     
312.         pService++, dwServices++)
     
313.     {
     
314.         ULONG ulAddr = *pService-poh->ImageBase + dwKernelBase;
     
315.         SetProc(dwServices, &ulAddr);
     
316.     //  printf("INDEX:%3X OrgAddr:%8X /r/n",dwServices,ulAddr);   
     
317.     }
     
318. 
     
319.         //   printf("/n/SSDT Total==%08X/n",dwServices);
     
320.     FreeLibrary(hKernel);
     
321. }
     
322. 
     
323. 
     
324. 
     
325. ///////////////////////////////////////////////////////////
     
326. //
     
327. //
     
328. int main(int argc, char* argv[])
     
329. {
     
330.         ReSSDT();
     
331.         //printf("Hello World!\n");
     
332.         return 0;
     
333. }
     
334. 
     

复制代码

source Restore SSDT_20120505_01.rar (17.54 KB, 下载次数: 5015)

2012-5-15 02:37 上传

点击文件名下载附件

别人的作品, 忘记在哪看到的

po在此当备份

马大哈

SystemDebugControl早已没用啦,可惜.

以前有些代码利用这个函数实现内核内存读写,隐藏进程等,后来微软把它给封了.

现在是只有用驱动了.{:soso_e101:}

diddom

阿~~~~~~

lkd> uf 7c92de4e
7c92de4e b8ff000000      mov     eax,0FFh
7c92de53 ba0003fe7f      mov     edx,offset SharedUserData!SystemCallStub (7ffe0300)
7c92de58 ff12            call    dword ptr [edx]
7c92de5a c21800          ret     18h

watchsky

貌似不好用了，不过还是感谢共享源码

liubin121051

看看看看看看

DevilLiao

win7应该没用了吧