关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
--------------------------------------------------------------------------------
0 Z' l4 n1 U9 ?! P作者：suxm < suxm@nsfocus.com >
主页：http://www.nsfocus.com
日期：2001-09-10
. a  A: U" T- E
<<接上期>>
" p/ U& I8 g# t
; G1 W% h% H; P: B# a* T" ^3 h8 VIDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。

8 z8 c* i+ M% Q% v! r2 L8 W9 y4 c[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
[ suxm: 去看看上一期月刊的图1 ]
4 x. U3 `% @) Y+ d下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。
) Y% {4 ^: F  J9 `7 L4 ]
/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
#define HOOKINT 0x38
NTSTATUS DriverSpecificInitialization( )
: _& `$ K' [. [{
PIdtEntry_t IdtEntry;
extern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;
. _. y1 f: ~& A) z0 k
NumberOfServices = KeServiceDescriptorTable->NumberOfServices;
ServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);
# r% V: ?) w+ ~' Y( t4 h, l& q- l
/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
. r& r5 \7 q+ S1 [& z. u: Cif (!ServiceCounterTable)
return STATUS_INSUFFICIENT_RESOURCES;
7 h. C, H- e& u' f3 u, E0 p4 n
memset(ServiceCounterTable, 0, ServiceCounterTableSize);
; Y, v# m* p; a3 G- f*ServiceCounterTable=NumberOfServices;
! R: P4 B4 e0 F' B: W* |& _9 [7 V0 J
/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
4 }( U, U# m  @: U; Y- d! u  gIdtEntry=(PIdtEntry_t)Idtr->Base;
& K& K, Y( |: E& }- Q7 k
/* HOOKINT就是我们想要hook的中断号
这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
8 E4 e! N) Z1 S* p5 K! AOldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
(IdtEntry[HOOKINT].OffsetLow);
: m( E. u$ c  Y* s- d
3 V* p6 A1 U9 B5 T4 V' T% U# K# [/* 在IDT表项的相应位置写入新的中断处理函数的地址
用新的中断处理函数替换原中断处理函数 */
9 E# N6 C1 U% ~" u9 b_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
IdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
IdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
+ e5 N0 b) P# s$ h9 L_asm sti /* Enable中断请求 */
& R9 n4 K4 L# o* [6 U9 u
- @9 l) V- D; xreturn STATUS_SUCCESS;
+ C; X$ h! a2 c9 c+ \1 S. |}

上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
typedef struct InterruptGate
{
0 v  y4 i3 S. H* gunsigned short OffsetLow;
+ n) w, ?; M2 G' _1 ?unsigned short Selector;
! \) d' a- ^: _. z" i- ^unsigned char Reserved;
! T0 g. C  X$ y1 b9 x$ H$ O2 Uunsigned char SegmentType;
' q" b( I: x0 [" T+ \unsigned char SystemSegmentFlag;
, c- X* ~& k" S1 e1 a: K% D" Funsigned char Dpl;
unsigned char Present;
unsigned short OffsetHigh;
4 E0 Z! }2 n' B) D6 g: i} InterruptGate_t;
, L7 ?) l9 _6 a- G
在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？
! p7 X8 M: T1 r( M: Y
[ 读者小强：Winnt和2K的IDT中有空表项吗？]
, o* h4 L' g* T9 G  a4 _是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
6 w8 L2 G) J- U5 M+ R5 Z下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
+ ]& i( D3 r4 |! W1 {1 _% }NTSTATUS AddInterrupt()
" \$ M* v  F( |{
PIdtEntry_t IdtEntry;
8 w3 V! k6 L  [
/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
; `/ O2 q: j3 z( O& }IdtEntry=(PIdtEntry_t)Idtr->Base;
- L6 M. @/ s* H- _if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;
& s( O( P4 A) u) r' \) U
_asm cli

; O: f6 ]/ Z" ~& q" [2 @$ H/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
, C+ n' y: I- {IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
IdtEntry[ADDINT].Selector=8;
IdtEntry[ADDINT].Reserved=0;
) O) k1 M1 J& p( Z  f& z5 VIdtEntry[ADDINT].Type=0xE;
IdtEntry[ADDINT].Always0=0;
IdtEntry[ADDINT].Dpl=3;
IdtEntry[ADDINT].Present=1;
IdtEntry[ADDINT].OffsetHigh=
(unsigned short)((unsigned int) InterruptHandler>16);
8 y7 P& I$ {* K% }_asm sti

return STATUS_SUCCESS;
! y) Q$ ^% N6 T% e* ?' u+ Y* Q}

/ l  x2 a) Q+ N- ?: U5 J9 d让我们就上面的代码提一些问题。
Q: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
( J& r2 e5 u* J4 s) BA：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
个段的名称就是8（CS=8）。
6 k1 u9 p0 [! ]# E
9 e6 i' T$ s" Y% B0 gQ: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
& Z1 \& q4 ?/ h/ I) }) c6 v4 rA：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
应用程序的DPL=3，所以，可以直接触发这个中断。
, k/ r  A1 H9 E9 @. O3 q
Q: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
, N" \. S! _! ~A：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
:idt
5 a  D( S( z+ i( A& E, ^. MInt Type Sel:Offset Attributes Symbol/Owner
IDTbase=80036400 Limit=07FF
0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
# ?& i6 \$ _1 d9 D" L0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
+ C( D) [, w5 t……
可见，0xE表示IntG32。

终于快到下课的时间了，让我再多说几句好吗？
通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。