这几天看了一下FSD HOOK与SSDT HOOK恢复相关的东西，都是众牛人玩腻了的技术了。大家莫笑。

首先是FSD HOOK。
网上比较容易找到的是sudami对360superkiller的逆向，映射大小计算上好像有些错误。

这里贴出我的想法，备忘 ：）

1.       向ZwQuerySystemInformation传递11号参数，获得SYSTEM_MODULE_INFORMATION结构，通过结构查询ntfs和fastfat的基地址（lpModuleBase）。

2.       通过指定路径打开ntfs.sys和fastfat.sys对应的磁盘文件
L”\\SystemRoot\\system32\\drivers\\ntfs.sys”
L” \\SystemRoot\\system32\\drivers\\fastfat.sys”

3.       根据PE格式获得文件中镜像基地址（imageBase）

4.       使用特征码搜索ntfs.sys和fastfat.sys设置派遣路径的指令。

用IDA反汇编ntfs.sys（fastfat.sys类似）见指令和对应的机器码如下：

esi指向DriverObject结构，指令字结构分别为

c7 46 XX YY YY YY YY 

c7 86 XX XX XX XX YY YY YY YY (XX为esi的相对偏移，YY为真正的函数地址)

因此可以通过特征搜索此段指令：



获得指令后，根据上述结构分别获取IRP派遣序号index和原始派遣函数地址addr。

在这里真正index的计算方法如下：


同时由于ntfs.sys实际加载的位置和pe文件中存储的位置不同，所以需要重定位：


至此获得了派遣函数的原始路径。

5.       使用ObReferenceObjectByName分别获得

L”\\FileSystem\\Ntfs”

L”\\FileSystem\\Fastfat”

对应的驱动对象(DriverObject)。

将驱动对象中的派遣函数地址与从pe文件读取的地址进行比对，如果发现不同和进行修复。

-----------------------------------------------------------------------------------------

SSDT HOOK
1. 确定windows所使用内核文件时ntoskrnl.exe还是ntkrnlpa.exe。
当电脑内存大于512MB时windows开启PAE使用ntkrnlpa.exe否则使用ntoskrnl.exe这里并没有考虑支持多核处理器的内核。
所以我们只要检测PAE是否开启就能确定内核文件名了。
当cr4寄存器的5 bit置为时说明开启了PAE。


2.       将内核文件映射如内存，首地址为krnlImgBase。
3.       向ZwQuerySystemInformation传递11号参数，得到SYSTEM_MODULE_INFORMATION结构数组，遍历数组得到系统内核在内存中的基地址krnlBase。
4.       根据PE格式解析映射到内存中的文件，获得原始SSDT。
方法是：首先获得系统导出的SSDT表地址，减去基地址后得到SSDT的RVA


找出内存映射的内核文件的节表。
搜索SSDT的RVA处在文件那哪个节中。
内存映射文件的SSDT = SSDT RVA  所在节 RVA + 所在节 RawOffset + krnlImgBase


5.       对比原始SSDT与当前SSDT内容，不同则替换。
这里存在一个重定位问题需要注意。
代码如下：


------------------------------------------------------------------------------------------
本人菜鸟一只，欢迎各位来拍砖、撞墙或者说“太挫了” ：）
http://hi.baidu.com/index09