关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
--------------------------------------------------------------------------------
作者：suxm < suxm@nsfocus.com >
主页：http://www.nsfocus.com
日期：2001-09-10

/ n( s, E+ p6 |# e5 P6 |0 |<<接上期>>
- d- @$ O* d4 e6 B3 b3 e
; D1 v# X# F0 K* l; N- qIDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。
4 e; @! Y2 t: ?3 p; J4 f1 ?
[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
/ r  g; i9 u" H1 S% n9 r在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
[ suxm: 去看看上一期月刊的图1 ]
. c& {8 h5 D, w; z* ]下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。
7 _3 A, q6 W5 J& A/ S1 A" T
5 k+ y) z/ _- n- A7 o& C/ m: W/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
#define HOOKINT 0x38
7 D7 |  M) w& fNTSTATUS DriverSpecificInitialization( )
* n- `0 a$ Z* @: U# Q{
PIdtEntry_t IdtEntry;
5 m: {$ \7 Q$ \: f, y, `  Rextern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;
, G6 E- {' ^  z5 u5 c
NumberOfServices = KeServiceDescriptorTable->NumberOfServices;
# H+ h7 u7 h7 z! W+ IServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
) G2 J7 }8 o- |- cServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);

( b4 G; J' n! x7 b# X8 |- ?% b! X/ @/ l/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
if (!ServiceCounterTable)
return STATUS_INSUFFICIENT_RESOURCES;
, B, c2 ?: l; q
memset(ServiceCounterTable, 0, ServiceCounterTableSize);
: O  H, j4 \/ h# B5 y*ServiceCounterTable=NumberOfServices;

/* 获得IDTR Register 的Base Address和Limit*/
$ m/ J3 C6 c8 C& c8 e1 p2 I* T_asm sidt buffer
2 ~2 c8 e* k" n. MIdtEntry=(PIdtEntry_t)Idtr->Base;
' W$ d& ~3 F2 N# K
/* HOOKINT就是我们想要hook的中断号
1 \) O5 E: X6 t0 M这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
& \( N2 i4 I+ v6 f8 v' Q/ p7 `OldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
(IdtEntry[HOOKINT].OffsetLow);

  ]9 \; ]3 w7 F" m2 Z- ^/* 在IDT表项的相应位置写入新的中断处理函数的地址
用新的中断处理函数替换原中断处理函数 */
! D0 }' V% `3 O. a9 \_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
IdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
IdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
) A# |) |1 i) G' e7 @! @_asm sti /* Enable中断请求 */
/ a4 X$ g4 U) D( I0 f
/ O" n( k& M( W4 M- o. Treturn STATUS_SUCCESS;
}

上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
typedef struct InterruptGate
" b  I) A- f7 \9 [{
unsigned short OffsetLow;
2 F! I/ P2 \: \unsigned short Selector;
. z) I# J: R5 H9 E, E! Lunsigned char Reserved;
unsigned char SegmentType;
4 ~3 l6 _% i& p- @& U2 Z8 Wunsigned char SystemSegmentFlag;
unsigned char Dpl;
6 V' O5 a4 a. w! P% H6 ]unsigned char Present;
unsigned short OffsetHigh;
2 k6 z; d2 D; ~9 I. v& d4 ?} InterruptGate_t;

. P1 A& ]) y4 P% Q: |0 j在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？
% c+ s; R# o! R9 p" c$ }
! N8 K8 w( Z1 q* U9 M& M[ 读者小强：Winnt和2K的IDT中有空表项吗？]
4 @9 l4 L& |2 H1 D+ Z9 G是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
NTSTATUS AddInterrupt()
{
PIdtEntry_t IdtEntry;

/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
4 P- R* I7 [, Y- ]1 e- AIdtEntry=(PIdtEntry_t)Idtr->Base;
if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
+ e; ^% Q/ D& z* t! }" a  c! Breturn STATUS_UNSUCCESSFUL;

$ k2 R& D! \& e2 G+ |_asm cli
4 f9 K& s( w2 f
/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
IdtEntry[ADDINT].Selector=8;
* w5 Z% n, u9 @$ E+ N: LIdtEntry[ADDINT].Reserved=0;
, X! C( {& W/ ^$ M/ r9 l8 |IdtEntry[ADDINT].Type=0xE;
IdtEntry[ADDINT].Always0=0;
# f- F: W1 J# H, _; Q4 J( n) @IdtEntry[ADDINT].Dpl=3;
IdtEntry[ADDINT].Present=1;
7 n9 L0 i6 m- {8 l, z& a" \7 fIdtEntry[ADDINT].OffsetHigh=
8 e. L/ y# K# p" x* O! |8 I4 I2 M9 g8 j(unsigned short)((unsigned int) InterruptHandler>16);
_asm sti
; P$ ^3 `$ H. X* c
return STATUS_SUCCESS;
+ D; m5 S  f" V2 q}

8 T, v+ _; W5 R让我们就上面的代码提一些问题。
Q: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
A：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
个段的名称就是8（CS=8）。

Q: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
5 \/ S# c1 d! d2 U0 a2 _A：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
应用程序的DPL=3，所以，可以直接触发这个中断。

Q: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
A：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
:idt
; R$ `/ M' M) g  IInt Type Sel:Offset Attributes Symbol/Owner
IDTbase=80036400 Limit=07FF
0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
) R$ o- i) P) C. @) {0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
……
* O: P- x( \4 a- l- ^; Q可见，0xE表示IntG32。
' t" S- Q6 x8 z& v  c) ]  }
终于快到下课的时间了，让我再多说几句好吗？
通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。