Windows 驱动开发：SSDT 地址获取与 KiSystemCall64 特征码搜索实战

#include <ntddk.h>
#include <intrin.h>

#pragma pack(1)
typedef struct _KeServiceDescriptorTable{
	PULONG ServiceTableBase;        // SSDT基址，8字节大小
	PVOID ServiceCounterTableBase;  // SSDT中服务被调用次数计数器，8字节大小
	ULONGLONG NumberOfService;      // SSDT服务函数的个数，8字节大小
	PVOID ParamTableBase;           // 系统服务参数表基址，8字节大小。实际指向的数组是以字节为单位的记录着对应服务函数的参数个数
} KeServiceDescriptorTable, * PKeServiceDescriptorTable;
#pragma pack()

// 对比源地址内容是否跟目的地址内容一致.
BOOLEAN CompareStr(PCUCHAR, PCUCHAR);
// 搜索特征码（内存字节串）,返回搜索到的内存地址值.
ULONGLONG SearchFeature(const VOID* startAddr, const SIZE_T size, PCUCHAR str);
// 获取 SSDT 结构指针.
PKeServiceDescriptorTable getSSDT64();
// 获取指定索引号的服务方法
PVOID64 getServiceMethodAddr(PKeServiceDescriptorTable, SIZE_T index);

VOID DriverUnload(PDRIVER_OBJECT pDriverObject)
{
	KdPrint(("Unload success..."));
}

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObject, PUNICODE_STRING pRegPath) 
{

	DbgPrint("This is my first driver.");
	pDriverObject->DriverUnload = DriverUnload;
	PKeServiceDescriptorTable pSsdt = getSSDT64();
	// 打印 ssdt 地址, 服务接口数量.
	KdPrint(("This is service base addr:%p, service num:%lld\n", pSsdt->ServiceTableBase, pSsdt->NumberOfService));
	// 打印第 5 个接口的地址.
	SIZE_T index = 5;
	PVOID64 methodAddr = getServiceMethodAddr(pSsdt, index);
	KdPrint(("Method index:%llu, addr:%p\n", index, methodAddr));
	return STATUS_SUCCESS;
}

PVOID64 getServiceMethodAddr(PKeServiceDescriptorTable pKdt, SIZE_T index)
{
	// 判断索引号是否超过最大的索引值.
	if (index > pKdt->NumberOfService) {
		return NULL64;
	}
	// 获取偏移量
	ULONG offset = *(pKdt->ServiceTableBase + index) >> 4;
	KdPrint(("method offset:%X\n", offset));
	return (PVOID64)((ULONGLONG)pKdt->ServiceTableBase + offset);
}

PKeServiceDescriptorTable getSSDT64()
{
	// 获取模型寄存器中的地址，为搜索的开始地址（KiSystemCall64）.
	PUCHAR pKiSystemCall64 = (PUCHAR)__readmsr(0xC0000082);
	// 设置特征码（lea r10,[nt!KeServiceDescriptorTable]）.
	UCHAR feature[] = { 0x4c, 0x8d, 0x15, 0 };
	// 查找特征码(KiSystemServiceRepeat).
	ULONGLONG addressVal = SearchFeature(pKiSystemCall64, 0x500, feature);
	// 指令特征码中的偏移地址 + 下一指令的起始地址 = KeServiceDescriptorTable.
	ULONG offset = *(ULONG*)(addressVal + strlen(feature));

	// 获取 SSDT 的地址.
	return (PKeServiceDescriptorTable)(offset + addressVal + 7);
}

// 比较两个字符串是否相等.
BOOLEAN CompareStr(PCUCHAR src, PCUCHAR dest)
{
	size_t len = strlen(dest);
	for (size_t i = 0; i < len; ++i) {
		if (dest[i] != src[i]) {
			return FALSE;
		}
	}
	return TRUE;
}

// 搜索指定地址开始，size 范围内有没有特征字符串 str.
ULONGLONG SearchFeature(const VOID* startAddr, const SIZE_T size, PCUCHAR str)
{
	// 设置搜索的开始地址.
	PCUCHAR start = startAddr;
	for (SIZE_T i = 0; i < size; ++i) {
		// 比较当前地址的字符串是否跟目的字符串16进制是否相同.
		if (CompareStr(start + i, str)) {
			return (ULONGLONG)(start + i);
		}
	}
	return 0;
}