数学建模社区-数学中国

标题: 关于Winnt/2k IDT的一些思考(续) [打印本页]

---

作者: 韩冰    时间: 2004-10-9 14:30
标题: 关于Winnt/2k IDT的一些思考(续)
文章内容：
--------------------------------------------------------------------------------
8 O! {5 q" P2 ^; [8 A* a作者：suxm < suxm@nsfocus.com >
主页：http://www.nsfocus.com
日期：2001-09-10
1 F( ^1 I; g+ \. A) P2 x0 q  g/ a
+ U6 b! J; N& n4 [4 l<<接上期>>
' ]* x! P) V& j2 H3 O$ j+ g  D' ^# P
! G1 b) Z7 {5 v  H8 E7 W2 cIDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。
5 A# H3 f1 ?% \7 |3 h& Z7 d
( y  V, s7 C- h[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
" ?% z- b7 i7 ^2 X, W呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
3 ^! h8 d  H2 Q0 F1 e) J" l4 ]下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
" ?" I- x8 n" F; y- d在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
+ c3 A6 o& N; d5 L! f1 S, U[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
. K4 |; V) S: J* k& G6 Q[ suxm: 去看看上一期月刊的图1 ]
7 |+ @( z% V4 U$ i7 K  T下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。

* |5 M0 _4 G+ c* w/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
#define HOOKINT 0x38
4 h, t$ z% y  s$ H1 \1 D% o! o: ANTSTATUS DriverSpecificInitialization( )
{
PIdtEntry_t IdtEntry;
& z; I" u2 g# o( [7 g7 h5 oextern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;

1 y$ g9 v$ N6 zNumberOfServices = KeServiceDescriptorTable->NumberOfServices;
ServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);
0 }# R# B- F- x( Q$ b7 g8 I
/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
, ?2 c' d1 Z' [$ k! ]% t9 Hif (!ServiceCounterTable)
return STATUS_INSUFFICIENT_RESOURCES;

6 U2 \5 Y, |8 e- [" d& P4 Mmemset(ServiceCounterTable, 0, ServiceCounterTableSize);
9 R. J+ X+ y( p. P*ServiceCounterTable=NumberOfServices;
# s. h! c; }7 h
& O7 s; d* i4 R6 x/ [/* 获得IDTR Register 的Base Address和Limit*/
# i7 S/ z; ?  w1 i# r6 f: E_asm sidt buffer
% N& I7 A* a) ?9 Y/ k1 z2 J! gIdtEntry=(PIdtEntry_t)Idtr->Base;

2 B6 \! `5 f/ A/* HOOKINT就是我们想要hook的中断号
这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
7 s5 R& P& C( T/ J! R$ V- G/ T2 ~OldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
(IdtEntry[HOOKINT].OffsetLow);

' @5 H; n5 s* F/ }  q& i/* 在IDT表项的相应位置写入新的中断处理函数的地址
3 T0 j( L* c0 T* ?  G- u用新的中断处理函数替换原中断处理函数 */
/ H/ _/ m$ S+ v* b. d: \_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
IdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
IdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
_asm sti /* Enable中断请求 */

return STATUS_SUCCESS;
}

上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
typedef struct InterruptGate
{
unsigned short OffsetLow;
unsigned short Selector;
& W1 n+ H1 |5 Z: q) j  P0 Munsigned char Reserved;
2 g; R) ?% r* Z+ N  H6 c/ sunsigned char SegmentType;
unsigned char SystemSegmentFlag;
unsigned char Dpl;
% R0 C4 [: U6 n- hunsigned char Present;
% |9 N3 x; }: B+ aunsigned short OffsetHigh;
} InterruptGate_t;

9 Y9 ]; B) ]- [2 U+ S在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？
- M3 ]# Z$ R4 I$ d
* [, g; e3 c) ]% K+ g- u1 g; I[ 读者小强：Winnt和2K的IDT中有空表项吗？]
是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
$ c5 V) c1 ~  s6 g2 J. b3 ^( t下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
NTSTATUS AddInterrupt()
8 \6 l6 D7 ^7 M( J) N{
: i, K% j0 l/ I$ GPIdtEntry_t IdtEntry;

/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
1 v+ t* ~& w8 [IdtEntry=(PIdtEntry_t)Idtr->Base;
if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;
. d; o% v/ _  p5 q- e) x$ o1 Y
9 T# B5 `4 y$ e; b# T$ H, O_asm cli
( A; c$ J+ ~' ?1 r; ?9 X' t
/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
6 A9 e2 e* ~% c6 OIdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
8 M' }/ [4 ~7 S1 OIdtEntry[ADDINT].Selector=8;
2 H( T; c2 l! t% p' dIdtEntry[ADDINT].Reserved=0;
IdtEntry[ADDINT].Type=0xE;
) v- i- L: G/ Y; T2 a7 V) O5 |/ C" cIdtEntry[ADDINT].Always0=0;
IdtEntry[ADDINT].Dpl=3;
IdtEntry[ADDINT].Present=1;
IdtEntry[ADDINT].OffsetHigh=
/ g. q) A& J: s0 ?(unsigned short)((unsigned int) InterruptHandler>16);
4 c9 ]1 i  R. N4 c" M5 x7 {_asm sti

return STATUS_SUCCESS;
}
) j, j& q( n0 o% M  c3 x/ v6 w1 W
  y* k2 t3 o9 z, h8 `7 z4 I. U: Y让我们就上面的代码提一些问题。
Q: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
+ L3 y# P, F) u6 ]6 m4 G4 G% ~7 [. N: QA：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
2 \& D) [: s7 A2 B9 W个段的名称就是8（CS=8）。

. Y5 I" I( s' K) Z, uQ: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
A：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
应用程序的DPL=3，所以，可以直接触发这个中断。
! X, B% J" x- d. Y5 Y* e  N- l3 i! R
6 [, |2 R/ O1 K+ W& s" dQ: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
A：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
3 N5 @/ Q4 C% Z; `5 }' R  A3 \:idt
Int Type Sel:Offset Attributes Symbol/Owner
IDTbase=80036400 Limit=07FF
) V7 R3 M: }( E: ^1 c$ c* t4 V0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
4 ]# A" I& Q( y7 e" `* s0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
/ R6 ^: X0 e2 a. D/ C) k……
4 t6 {' y6 i# E- h可见，0xE表示IntG32。
/ C* s& n& A! f  D$ T$ M
终于快到下课的时间了，让我再多说几句好吗？
通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。

---

欢迎光临 数学建模社区-数学中国 (http://www.madio.net/)

Powered by Discuz! X2.5