X64 SSDT 科普

MJ0011 · 发表于 2010-4-17 00:20

H让我过来发点东西，我偷个懒，复制一个以前发在360内部技术论坛的没什么料的小资料，哈哈

X64 SSDT 科普

X64下没有导出KeServiceDescriptorTable，要获取这个的地址没有比较简单的方法，我使用的一个技术是通过 KiSystemCall64来定位它，这是SysCall时64位程序进入的EIP，可以通过readmsr(0xc0000082)来获取其，向下搜索0X100个字节左右就有KeSerciveDescriptorTable和ShadowTable

KeServiceDescriptorTable第一个成员是ServiceTableBase,但和32位不一样，这个表存放的并不是所有SSDT 函数的地址，而是其相对于ServiceTableBase的偏移*0x10的数据，每个函数一个DWORD，也就说，取出来ServiceTableBase要转换为具体的函数地址的方式是:
ServiceTableBase[x]/0x10+ServiceTableBase

Hmily · 发表于 2010-4-17 00:26

强势插入学习,悲剧,我们组上不去内网论坛,还是吾爱破解好,什么都可以看,哇好哈哈!

淡淡香草味 · 发表于 2010-4-17 00:26

看不懂

MJ0011 · 发表于 2010-4-17 00:32

其实寻找ssdt的方法也算比较有料啦~

淡淡香草味 · 发表于 2010-4-17 00:41

还是不懂

Hmily · 发表于 2010-4-17 01:53

其实寻找ssdt的方法也算比较有料啦~
MJ0011 发表于 2010-4-17 00:32

支持爆料~

叶宝平 · 发表于 2010-6-23 13:22

就这么点啊？

hixiaosheng · 发表于 2010-6-23 13:31

来晚了，来看看··

loveforever90 · 发表于 2011-4-21 17:09

有点深奥

oksbsb · 发表于 2011-4-23 09:16

支持大牛继续爆啊！

帐号		自动登录	找回密码
密码			注册[Register]

[系统底层] X64 SSDT 科普

浏览过的版块

个人中心