什么是IDT Hook ？以及完整HOOK源码

stop718

IDT Hook是一个非常简单的东东。这里我们不讨论IDTR，中断处理过程等东西。以后有时间补上（假如我有时间的话）。

IDT即中断描述表。当然系统发生中断时（有可能是CPU中断，也有可能是I/O中断等）。系统会通过中断向量查找IDT保存的ISR（中断服务程序）来调用相关的处理例程。IDT Hook就是替换这个ISR。

也许上面的过程你不是很明白。我们具体的了解下过程。

IDT是一个有256个入口的线性表。每个入口大小为8字节。每个入口值我们称为中断向量（0..255）。比如 int 30。30即中断向量。当发生int 30中断时，系统根据30找到IDT入口，然后计算出ISR。调用之。

我们来看看相关的结构。

typedef struct
{
unsigned short LowOffset;
unsigned short selector;
unsigned char unused_lo;
unsigned char segment_type:4;  
unsigned char system_segment_flag:1;
unsigned char DPL:2;         
unsigned char P:1;           
unsigned short HiOffset;
} IDTENTRY;
我首先要感叹下C语言的强大。

unsigned char segment_type:4;   代表这个参数占用4位。

以下都是如此。

unsigned char system_segment_flag:1;
unsigned char DPL:2;         
unsigned char P:1;     

他们一共占用了一个字节。上面的结构一种占用了8个字节。即IDT入口大小。

unsigned short LowOffset; 表示ISR地址是低字节

unsigned short HiOffset;    表示ISR地址的高字节。他们一起组成了ISR的地址。对于其他的东东我们暂时不解释。

还有一个数据结构。

typedef struct
{
unsigned short IDTLimit;
unsigned short LowIDTbase;
unsigned short HiIDTbase;
} IDTINFO;

unsigned short LowIDTbase;
unsigned short HiIDTbase; 他们共同组成了IDT线性表的地址。

这个结构用来帮助我们获取IDT的位置。

在C语言中我可以通过 _asm sidt idt_info 来得到IDT的地址。

下面我们来看看完整的代码。

extern "C"
{
#include <ntddk.h>
}


#define MAX_IDT_ENTRIES 0xFF

#define NT_INT_TIMER 0x30


#define MAKELONG(a,b)((ULONG)(((USHORT)(a))|((ULONG)((USHORT)(b))) << 16))

typedef struct
{
unsigned short LowOffset;
unsigned short selector;
unsigned char unused_lo;
unsigned char segment_type:4;  
unsigned char system_segment_flag:1;
unsigned char DPL:2;         
unsigned char P:1;           
unsigned short HiOffset;
} IDTENTRY;


typedef struct
{
unsigned short IDTLimit;
unsigned short LowIDTbase;
unsigned short HiIDTbase;
} IDTINFO;

#pragma pack()


ULONG Old_ISR_Pointer,OldCr0;


VOID DriverUnload(PDRIVER_OBJECT pDriverObj);
VOID My_interrupt_Proc();


// 驱动程序加载时调用DriverEntry例程
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObj, PUNICODE_STRING pRegistryString)
{
pDriverObj->DriverUnload = DriverUnload;
//
IDTINFO   idt_info;
IDTENTRY* idt_entry;

_asm sidt idt_info

idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);

//
Old_ISR_Pointer = MAKELONG(idt_entry[NT_INT_TIMER].LowOffset,idt_entry[NT_INT_TIMER].HiOffset);
//
_asm
{
   cli;
   //
   mov eax, cr0;
   mov OldCr0,eax;
   and eax,not 10000;
   mov cr0,eax;
}
idt_entry[NT_INT_TIMER].LowOffset = (USHORT)My_interrupt_Proc;
idt_entry[NT_INT_TIMER].HiOffset = (USHORT)((ULONG)My_interrupt_Proc >> 16);
_asm
{
   mov eax,OldCr0;
   mov cr0,eax;
   //
   sti;
}


// 请视情况返回DriverEntry例程执行结果
return STATUS_SUCCESS;
}


VOID DriverUnload(PDRIVER_OBJECT pDriverObj)
{
IDTINFO   idt_info;
IDTENTRY* idt_entry;

_asm sidt idt_info

idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);
//
_asm
{
   cli;
   //
   mov eax, cr0;
   mov OldCr0,eax;
   and eax,not 10000;
   mov cr0,eax;
}
idt_entry[NT_INT_TIMER].LowOffset = (USHORT)Old_ISR_Pointer;
idt_entry[NT_INT_TIMER].HiOffset = (USHORT)((ULONG)Old_ISR_Pointer >> 16);
_asm
{
   mov eax,OldCr0;
   mov cr0,eax;
   //
   sti;
}

}

VOID My_interrupt_Proc()
{
_asm
{
   jmp Old_ISR_Pointer;
}
}