什么是IDT Hook ？以及完整HOOK源码
IDT Hook是一个非常简单的东东。这里我们不讨论IDTR，中断处理过程等东西。以后有时间补上（假如我有时间的话）。
IDT即中断描述表。当然系统发生中断时（有可能是CPU中断，也有可能是I/O中断等）。系统会通过中断向量查找IDT保存的ISR（中断服务程序）来调用相关的处理例程。IDT Hook就是替换这个ISR。
也许上面的过程你不是很明白。我们具体的了解下过程。
IDT是一个有256个入口的线性表。每个入口大小为8字节。每个入口值我们称为中断向量（0..255）。比如 int 30。30即中断向量。当发生int 30中断时，系统根据30找到IDT入口，然后计算出ISR。调用之。
我们来看看相关的结构。
typedef struct
{
unsigned short LowOffset;
unsigned short selector;
unsigned char unused_lo;
unsigned char segment_type:4;
unsigned char system_segment_flag:1;
unsigned char DPL:2;
unsigned char P:1;
unsigned short HiOffset;
} IDTENTRY;
我首先要感叹下C语言的强大。
unsigned char segment_type:4; 代表这个参数占用4位。
以下都是如此。
unsigned char system_segment_flag:1;
unsigned char DPL:2;
unsigned char P:1;
他们一共占用了一个字节。上面的结构一种占用了8个字节。即IDT入口大小。
unsigned short LowOffset; 表示ISR地址是低字节
unsigned short HiOffset; 表示ISR地址的高字节。他们一起组成了ISR的地址。对于其他的东东我们暂时不解释。
还有一个数据结构。
typedef struct
{
unsigned short IDTLimit;
unsigned short LowIDTbase;
unsigned short HiIDTbase;
} IDTINFO;
unsigned short LowIDTbase;
unsigned short HiIDTbase; 他们共同组成了IDT线性表的地址。
这个结构用来帮助我们获取IDT的位置。
在C语言中我可以通过 _asm sidt idt_info 来得到IDT的地址。
下面我们来看看完整的代码。
extern "C"
{
#include <ntddk.h>
}
#define MAX_IDT_ENTRIES 0xFF
#define NT_INT_TIMER 0x30
#define MAKELONG(a,b)((ULONG)(((USHORT)(a))|((ULONG)((USHORT)(b))) << 16))
typedef struct
{
unsigned short LowOffset;
unsigned short selector;
unsigned char unused_lo;
unsigned char segment_type:4;
unsigned char system_segment_flag:1;
unsigned char DPL:2;
unsigned char P:1;
unsigned short HiOffset;
} IDTENTRY;
typedef struct
{
unsigned short IDTLimit;
unsigned short LowIDTbase;
unsigned short HiIDTbase;
} IDTINFO;
#pragma pack()
ULONG Old_ISR_Pointer,OldCr0;
VOID DriverUnload(PDRIVER_OBJECT pDriverObj);
VOID My_interrupt_Proc();
// 驱动程序加载时调用DriverEntry例程
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObj, PUNICODE_STRING pRegistryString)
{
pDriverObj->DriverUnload = DriverUnload;
//
IDTINFO idt_info;
IDTENTRY* idt_entry;
_asm sidt idt_info
idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);
//
Old_ISR_Pointer = MAKELONG(idt_entry.LowOffset,idt_entry.HiOffset);
//
_asm
{
cli;
//
mov eax, cr0;
mov OldCr0,eax;
and eax,not 10000;
mov cr0,eax;
}
idt_entry.LowOffset = (USHORT)My_interrupt_Proc;
idt_entry.HiOffset = (USHORT)((ULONG)My_interrupt_Proc >> 16);
_asm
{
mov eax,OldCr0;
mov cr0,eax;
//
sti;
}
// 请视情况返回DriverEntry例程执行结果
return STATUS_SUCCESS;
}
VOID DriverUnload(PDRIVER_OBJECT pDriverObj)
{
IDTINFO idt_info;
IDTENTRY* idt_entry;
_asm sidt idt_info
idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);
//
_asm
{
cli;
//
mov eax, cr0;
mov OldCr0,eax;
and eax,not 10000;
mov cr0,eax;
}
idt_entry.LowOffset = (USHORT)Old_ISR_Pointer;
idt_entry.HiOffset = (USHORT)((ULONG)Old_ISR_Pointer >> 16);
_asm
{
mov eax,OldCr0;
mov cr0,eax;
//
sti;
}
}
VOID My_interrupt_Proc()
{
_asm
{
jmp Old_ISR_Pointer;
}
}
页:
[1]