枚举DPC定时器源码(代码简洁)

飞龙在天

鉴于目前驱动保护市场上的一两P有DPC定时器需要处理，放出一点简洁的枚举DPC定时器的源码，只有枚举，没有摘出。自己加点就行了，代码来源于网上搜集，但是搜集到的错误比较多，送出的是我修正编译可以通过的代码，没有盲目的复制代码。以下是代码，如果对你有那么一点点用那么很荣幸。很基础的东西大神勿笑。

1. #include <ntddk.h>
   
2. #include <windef.h>  
   
3. ULONG KiTimerTableList=0;
   
4. //通过函数名获取函数地址
   
5. ULONG GetFunctionAddr( IN PCWSTR FunctionName)      
   
6. {
   
7. UNICODE_STRING UniCodeFunctionName;
   
8. RtlInitUnicodeString( &UniCodeFunctionName, FunctionName );
   
9. return (ULONG)MmGetSystemRoutineAddress( &UniCodeFunctionName );   
   
10. }
    
11. //定位dpc定时器链表首地址(仅Windows xp 下有效，其他系统要自己重写特征定位)
    
12. ULONG GetKiTimerList(ULONG addr)  
    
13. {  
    
14. int i=0;
    
15. PBYTE opcode =(PBYTE)addr;  
    
16. for (;i<0x150;i++)  
    
17. {  
    
18.   if (opcode == 0x8d &&
    
19.   opcode[i+1] == 0xc &&
    
20.   opcode[i+2]== 0xc5)  
    
21.   {  
    
22.     return *(PULONG)&opcode[i+3];  
    
23.   }  
    
24. }  
    
25. return 0;  
    
26. }  
    
27. //枚举dpc定时器
    
28. VOID SearchForDPCTimer(ULONG addr)  
    
29. {  
    
30. PLIST_ENTRY pnode,pnext;  
    
31. ULONG count = 0;  
    
32. KIRQL irql;  
    
33. ULONG routine;  
    
34. int i=0;
    
35. irql = KeRaiseIrqlToDpcLevel();  
    
36. for(;i<256;i++)
    
37. {
    
38.   pnode = (PLIST_ENTRY)(addr+i*8);  
    
39.   pnext = pnode->Blink;  
    
40.   while(pnext!=pnode)  
    
41.   {  
    
42.    PKTIMER ptimer = CONTAINING_RECORD(pnext,KTIMER,TimerListEntry);  
    
43.    if (MmIsAddressValid(ptimer)  
    
44.    && MmIsAddressValid(ptimer->Dpc)  
    
45.    && MmIsAddressValid(ptimer->Dpc->DeferredRoutine))  
    
46.    {  
    
47.     routine = (ULONG)ptimer->Dpc->DeferredRoutine;  
    
48.     DbgPrint("kitimer:0x%x addr:0x%x  ",(ULONG)ptimer,routine);  
    
49.     count ++;  
    
50.     //在这里判断如果是否在目标模块内
    
51.     //if (routine > imgBase && routine<imgBase+imgSize)  
    
52.     //imgBase目标模块入口，imgSize目标模块大小，符合条件将其kill
    
53.    }  
    
54.    pnext = pnext->Blink;  
    
55.   }  
    
56. }
    
57. KeLowerIrql(irql);  
    
58. DbgPrint("count:%d\n",count+1);  
    
59. }  
    
60. 
    
61. 
    
62. VOID OnUnload(IN PDRIVER_OBJECT DriverObject)
    
63. {
    
64. 
    
65. }
    
66. 
    
67. NTSTATUS DriverEntry(IN PDRIVER_OBJECT theDriverObject,  
    
68.       IN PUNICODE_STRING theRegistryPath)
    
69. {
    
70. theDriverObject->DriverUnload  = OnUnload;
    
71. KiTimerTableList=GetKiTimerList((ULONG)GetFunctionAddr(L"KeUpdateSystemTime"));
    
72. if(KiTimerTableList!=0)
    
73. {
    
74.   DbgPrint("KiTimerTableList:%x\n",KiTimerTableList);
    
75.   SearchForDPCTimer(KiTimerTableList);
    
76. }
    
77. return STATUS_SUCCESS;
    
78. }
    
79. 以上是完整的代码，可以直接编译测试的。但是仅仅对xp系统有用，其他系统别乱试，蓝屏概不负责，主要的是在通过特征定位DPC 链表首地址那里，其它操作系统跟xp的特征不一样

复制代码