在网上看了下,获得ShadowSSDT的函数名和原始地址的方法和文章不是很多。比较简单的应该算是设计张函数名表和用symbol的方法。
个人觉得用symbol来获得ShadowSSDT还是比较方便的,而且自己也不用去创建一张表,何乐而不为。^_^
这办法简单的原因是我只需要一个win32.sys,win32.pdb,以及调用不到10个的API就能完成工作。
好,来看看怎么调用这些函数。
1.调用SymInitialize初始化Dbghelp这系列的函数。
2.调用ImageLoad读取文件win32.sys。
3.调用SymLoadModule来读取pdb文件。
4.调用SymEnumSymbols枚举符号,其中一个参数是回调函数SymEnumSymbolsProc,that's the key。
SymEnumSymbolsProc中有一个系统会帮忙填充一个为PSYMBOL_INFO结构的参数。在这个结构中我主要用到的是Name和Address。
5.调用ImageUnload和SymCleanup做一些清理工作。
OK,看一下我的思路。
首先是获得W32pServiceTable的地址。熟悉ShadowSSDT都知道,W32pServiceTable是在内核初始化用来填充ShadowSSDT的表。
然后,知道了W32pServiceTable的地址,后面的事情也很容易。用SymEnumSymbolsProc把ShadowSSDT每个函数的地址和函数名保存下来。
说起来有点复杂,但代码很简单的。
代码:
#include <windows.h> #include <stdio.h> #include <Dbghelp.h> #pragma comment(lib, "Dbghelp.lib") #pragma comment(lib, "Imagehlp.lib") extern "C" { PLOADED_IMAGE IMAGEAPI ImageLoad( PCSTR DllName, PCSTR DllPath ); BOOL IMAGEAPI ImageUnload( PLOADED_IMAGE LoadedImage ); } // //用于存放得到的ShadowSSDT的函数和函数名 // typedef struct _SHADOWFUNC { CHAR FuncName[100]; DWORD FuncAddr; }SHADOWFUNC, *PSHADOWFUNC; DWORD g_W32pServiceTable = 0; SHADOWFUNC g_ShadowFunc[667] = {0}; // //回调函数,用于获得ShadowSSDT的函数和函数名 // BOOL CALLBACK SymEnumSymbolsProc( PSYMBOL_INFO pSymInfo, ULONG SymbolSize, PVOID UserContext ) { PDWORD pW32pServiceTable = NULL; INT i = 0; if (!UserContext) { if (strstr(pSymInfo->Name, "W32pServiceTable")) { printf("%s, %#x\n", pSymInfo->Name, pSymInfo->Address); g_W32pServiceTable = (DWORD)pSymInfo->Address; } } else { pW32pServiceTable = (PDWORD)UserContext; for (i = 0; i < 667; i++) { if (*(pW32pServiceTable + i) == (DWORD)pSymInfo->Address) { g_ShadowFunc[i].FuncAddr = (DWORD)pSymInfo->Address; lstrcpyn(g_ShadowFunc[i].FuncName, pSymInfo->Name, 100); } } } return TRUE; } void main() { INT i = 0; PDWORD pW32pServiceTable = 0; HANDLE hHandle = 0; PLOADED_IMAGE ploadImage = {0}; DWORD dwload = 0; hHandle = GetCurrentProcess(); SymInitialize(hHandle, NULL, TRUE); ploadImage = ImageLoad("win32k.sys", NULL); dwload = SymLoadModule (hHandle, ploadImage->hFile, "win32k.sys", "win32k.pdb", 0, ploadImage->SizeOfImage); SymEnumSymbols(hHandle, dwload, NULL, SymEnumSymbolsProc, NULL); if (g_W32pServiceTable) { pW32pServiceTable = (PDWORD)(g_W32pServiceTable - dwload + (DWORD)ploadImage->MappedAddress); SymEnumSymbols(hHandle, dwload, NULL, SymEnumSymbolsProc, pW32pServiceTable); } for (i = 0; i < 667; i++) { printf("%03d, 0x%08X, %s\n", i, g_ShadowFunc[i].FuncAddr, g_ShadowFunc[i].FuncName); } ImageUnload(ploadImage); SymCleanup(hHandle); }
先放张图片吧:
嗯,很成功~~~hoho~~~