关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
: ?3 z# j: \1 H--------------------------------------------------------------------------------
' O6 V& k: [7 F作者：suxm < suxm@nsfocus.com >
主页：http://www.nsfocus.com
日期：2001-09-10

<<接上期>>

IDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。

$ ^9 s. @1 l8 h1 V[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
6 J! U& a6 M7 {/ N0 s9 s$ I/ X呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
: I+ |3 Y6 c7 @; |) s下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
/ F/ ~. |9 y% V# V通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
( ?2 L9 L$ I, ]+ v) ~$ ~0 ^[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
# @4 B1 ]# {& H) J: h[ suxm: 去看看上一期月刊的图1 ]
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。
( w4 I& ^$ f3 K5 J
/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
#define HOOKINT 0x38
NTSTATUS DriverSpecificInitialization( )
{
# ], R9 F6 X. ~- qPIdtEntry_t IdtEntry;
extern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;
0 b7 V! Q0 i+ V
NumberOfServices = KeServiceDescriptorTable->NumberOfServices;
ServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);

/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
if (!ServiceCounterTable)
return STATUS_INSUFFICIENT_RESOURCES;
" E  D, }, }6 p# \+ E5 I
memset(ServiceCounterTable, 0, ServiceCounterTableSize);
9 V4 R5 L4 X" y' i" V3 m; \' |, e*ServiceCounterTable=NumberOfServices;
& P- O& G1 G% g- w- L* h
3 T, i3 P0 W) c7 v9 T/* 获得IDTR Register 的Base Address和Limit*/
+ z7 I/ v6 A4 w# L4 A( k3 T# C_asm sidt buffer
9 j, V9 V9 z8 R6 v& j* {) s7 MIdtEntry=(PIdtEntry_t)Idtr->Base;

: x9 S0 Q, }6 h7 D/ H/* HOOKINT就是我们想要hook的中断号
这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
OldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
(IdtEntry[HOOKINT].OffsetLow);
$ e* j% t2 `& [3 S2 \4 p$ ?
$ F( t+ a" p. |  N: q; n/* 在IDT表项的相应位置写入新的中断处理函数的地址
$ T0 e; f8 T3 W8 j0 R5 h用新的中断处理函数替换原中断处理函数 */
_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
IdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
IdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
_asm sti /* Enable中断请求 */
! v3 {8 |! U" t& h
8 d& t; Z: B( }, W9 e5 yreturn STATUS_SUCCESS;
; E1 d6 g( a1 k# ~. d. I}

上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
: z6 H/ i. r& L  H! W$ t0 ktypedef struct InterruptGate
{
! z2 e1 K( x* `7 U6 e' eunsigned short OffsetLow;
unsigned short Selector;
unsigned char Reserved;
unsigned char SegmentType;
+ w- ]/ i/ b  A: G% a* S4 H$ b4 bunsigned char SystemSegmentFlag;
* [& l0 q# t$ o) funsigned char Dpl;
unsigned char Present;
unsigned short OffsetHigh;
} InterruptGate_t;

在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？

[ 读者小强：Winnt和2K的IDT中有空表项吗？]
$ X. Z. B/ ~; |' W' g0 {' Q是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
NTSTATUS AddInterrupt()
7 f: I" T/ p, \/ w" `/ V# f{
PIdtEntry_t IdtEntry;

' L1 K9 `8 [/ ^( ^/* 获得IDTR Register 的Base Address和Limit*/
; y( U, r. t8 Z4 E, C_asm sidt buffer
4 |; K$ i; P& r8 [IdtEntry=(PIdtEntry_t)Idtr->Base;
4 b" ^7 b, L, D, F. _8 ]; J2 hif((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;

$ v5 F" d) S: M/ W# {, o_asm cli

( {' n9 z$ ?$ Y* j1 b' I; T* b/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
IdtEntry[ADDINT].Selector=8;
" }! U2 Z# e0 x6 U, H6 |) _- HIdtEntry[ADDINT].Reserved=0;
  w7 w3 A. _2 W0 d$ V( r) m. VIdtEntry[ADDINT].Type=0xE;
4 k" |; g* w8 U+ v8 N4 QIdtEntry[ADDINT].Always0=0;
- ^  k) L9 }1 aIdtEntry[ADDINT].Dpl=3;
6 a" v& @& V3 ?  g8 U% y7 c  ?IdtEntry[ADDINT].Present=1;
8 R- a% H4 n8 N3 zIdtEntry[ADDINT].OffsetHigh=
(unsigned short)((unsigned int) InterruptHandler>16);
/ ^- p+ `$ Q2 L" ^* S" B% H( d$ V_asm sti
; S& z6 h) n: D/ H# b
return STATUS_SUCCESS;
}

. I3 K  C0 n! B( l3 g( m) M让我们就上面的代码提一些问题。
Q: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
. R2 M& z7 \, M" m9 `! J. BA：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
个段的名称就是8（CS=8）。

) v4 @! B% o) I8 nQ: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
A：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
$ f; u* O% u9 M! h: \2 ^应用程序的DPL=3，所以，可以直接触发这个中断。
. E, E8 K1 c0 s: @5 ^/ e* ~
7 m* Q& ]! @6 h, [3 P% J( j1 FQ: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
A：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
  l7 A, u) C- \4 U3 P( ?3 [) h:idt
' g; l5 v" q1 J3 DInt Type Sel:Offset Attributes Symbol/Owner
# M$ D) T& w8 U( C. k/ i) e. m4 p9 |IDTbase=80036400 Limit=07FF
. S. V' f. `' m. b) f! r* A: U0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
……
5 `5 X# m& A5 i: y* R可见，0xE表示IntG32。

终于快到下课的时间了，让我再多说几句好吗？
通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。