如何获得原始Shadow SSDT地址

忆困血馆闻 · 发表于 2024-3-11 13:24:19

win2k sp4~winxp sp1首先定位加载的win32k.sys的入口点(静态文件的麻烦一些),然后搜索FF 15 DD CC BB AA特征,如果0xAABBCCDD指向的内容是KeAddSystemServiceTable则当前指令的前面4字节就是表的实际地址

bf9ae613 68109099bf    push offset win32k!W32pArgumentTable (bf999010)
bf9ae618 ff350c9099bf push dword ptr [win32k!W32pServiceLimit (bf99900c)]
bf9ae61e 893520359abf mov    dword ptr [win32k!countTable (bf9a3520)],esi
bf9ae624 56             push esi
bf9ae625 68008399bf    push offset win32k!W32pServiceTable (bf998300)
bf9ae62a ff15d8b498bf call dword ptr [win32k!_imp__KeAddSystemServiceTable (bf98b4d8)]
bf9ae630 e8fd0a0000    call win32k!InitCreateUserCrit (bf9af132)

得到的地址减去win32k.sys的实际加载地址并转换为RAW OFFSET就是shadow table在文件中的偏移

winxp,win2k3都可以直接从win32k.sys的.data节开始取，比较简单

如有谬误,请指正

		自动登录	找回密码
密码			立即注册

→→→→→→→→→→→→	1点击查看所有VIP教程目录长列表(总教程数269个)	2办理VIP详情进入	←←←←←←←←←←←←
1 x64CE与x64dbg入门基础教程 7课已完结	2 x64汇编语言基础教程 16课已完结	3 x64辅助入门基础教程 9课已完结	4 C++x64内存辅助实战技术教程 149课已完结
5 C++x64内存检测与过检测技术教程 10课已完结	6 C+x64二叉树分析遍历与LUA自动登陆教程 19课已完结	7 C++BT功能原理与x64实战教程 29课已完结	8 C+FPS框透视与自瞄x64实现原理及防护思路 30课完结
64驱？封？ 9 64反驱？	10 64位V？	11 绝?	12 ???课？
13 64透？	14 64U ？	15 64Q ？	16 64功？
17 64U ？	18 64模？	19 64多？	20 64网？
21 64注？	22 64火？	23 64棋？	24 64自二链L？
25 64破？	VIP会员办理QQ: 89986068 【请先加好友，然后到好友列表双击联系客服办理,不然可能无法接受到信息。】	27 加入2000人交流群637034024	28 免责声明？

如何获得原始Shadow SSDT地址

QQ咨询