关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
--------------------------------------------------------------------------------
) R( Z3 z  c: c* _! J9 f- b) ^作者：suxm < suxm@nsfocus.com >
主页：http://www.nsfocus.com
8 y# ?7 D5 {4 v日期：2001-09-10

<<接上期>>
) \/ u7 N6 A8 Y; s) c9 \* X( S7 h
IDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。

1 N5 K2 H7 ]8 D[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
" H  f! ^6 f. \8 W& c. J  t$ z呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
* }1 C7 Y  j5 V5 d下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
[ suxm: 去看看上一期月刊的图1 ]
0 X/ r. z: h! q' Q% I下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。

' k# D0 |: P. L/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
#define HOOKINT 0x38
/ {$ }7 G! }2 x2 G6 r- _NTSTATUS DriverSpecificInitialization( )
: a7 A2 o+ y- j! p  @2 L{
PIdtEntry_t IdtEntry;
* ^" K+ c; a$ Y! Wextern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;

NumberOfServices = KeServiceDescriptorTable->NumberOfServices;
ServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
" E2 I- c, A* w6 ~# F/ |" EServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);
0 @5 `8 ?: {+ I' o
4 E2 h* q. u3 @9 a; Z" `) h4 \/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
$ J/ r: L; y; m0 U/ {9 wif (!ServiceCounterTable)
return STATUS_INSUFFICIENT_RESOURCES;
7 F0 w# k* v  M# t
' |! n8 x: ]# g+ Z0 k) O5 Imemset(ServiceCounterTable, 0, ServiceCounterTableSize);
*ServiceCounterTable=NumberOfServices;
1 E" m. o9 ]9 N3 J
! `; B5 q, x) S  {  X$ L8 u/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
. d; @/ ~5 u2 B! q: ^' u8 e" B4 ^1 IIdtEntry=(PIdtEntry_t)Idtr->Base;
" L1 f- U- ^8 s/ V5 A% b
/* HOOKINT就是我们想要hook的中断号
7 L- X0 s6 A" _, E这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
OldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
(IdtEntry[HOOKINT].OffsetLow);

& `; L% C. S" E" d/* 在IDT表项的相应位置写入新的中断处理函数的地址
用新的中断处理函数替换原中断处理函数 */
_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
IdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
+ x; T8 y8 e% u, \$ R! B6 IIdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
' S2 K% P; [8 m3 D7 W* z& m_asm sti /* Enable中断请求 */
7 P2 c6 w, o, G3 ~  b- g
' x& b. p3 q! q) E% freturn STATUS_SUCCESS;
5 V' ^* D$ e0 n$ D1 L$ U}
% l% G1 x- @( Y1 U. h
2 e9 V0 ]8 l5 ]( Z, \; ^/ P! j上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
typedef struct InterruptGate
! x; T- G  ^' w+ {{
unsigned short OffsetLow;
unsigned short Selector;
unsigned char Reserved;
" E5 P: q+ U- @- J& ^. Cunsigned char SegmentType;
' x; f+ y6 F* ^unsigned char SystemSegmentFlag;
unsigned char Dpl;
" F, g' A: R) c3 hunsigned char Present;
unsigned short OffsetHigh;
3 f6 \. {1 j3 Z- n  A} InterruptGate_t;
& z3 b7 x% x& v3 J! O0 x7 I0 B# ?
! L/ ]7 e- ]) r1 P! K. N在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？

9 P& V6 f( N; w% l8 o[ 读者小强：Winnt和2K的IDT中有空表项吗？]
( s' r9 v) e. K4 V" l是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
. r( I* `. H* K5 `& U" E, V下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
' s5 X2 R$ D- I9 A, gNTSTATUS AddInterrupt()
{
PIdtEntry_t IdtEntry;

# A9 e) J$ h0 S/* 获得IDTR Register 的Base Address和Limit*/
; Z6 \; F1 g) f6 l8 g_asm sidt buffer
& s) _; w  f3 o' G6 rIdtEntry=(PIdtEntry_t)Idtr->Base;
if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;
  e8 C' q& c' V  j
_asm cli

/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
IdtEntry[ADDINT].Selector=8;
4 e2 e7 g1 y1 GIdtEntry[ADDINT].Reserved=0;
IdtEntry[ADDINT].Type=0xE;
IdtEntry[ADDINT].Always0=0;
; s4 f9 y% R( d0 E0 XIdtEntry[ADDINT].Dpl=3;
IdtEntry[ADDINT].Present=1;
IdtEntry[ADDINT].OffsetHigh=
5 w$ F/ I+ K2 [- p(unsigned short)((unsigned int) InterruptHandler>16);
_asm sti

return STATUS_SUCCESS;
9 a1 G% V5 P1 r. {( C7 t}
0 N2 r7 h3 {2 T" }/ N+ I
让我们就上面的代码提一些问题。
Q: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
A：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
个段的名称就是8（CS=8）。
3 k! e" [  |, w8 v8 b; J, q
% U) l+ X4 p% _; s+ ?Q: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
! ^8 Y- t( j- a1 hA：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
应用程序的DPL=3，所以，可以直接触发这个中断。

Q: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
A：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
' R: E4 u: S+ y$ K  n5 l2 l:idt
Int Type Sel:Offset Attributes Symbol/Owner
* Z" ]) M' i2 F' _# wIDTbase=80036400 Limit=07FF
$ n) l9 q( y+ l* f$ p3 R1 T0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
7 |+ _) H2 |  f. T' r+ _( x0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
……
6 T2 x. J# o8 f# K* H' V; x可见，0xE表示IntG32。

1 X- M+ [$ ?0 X1 [7 N终于快到下课的时间了，让我再多说几句好吗？
) b( O! T8 d4 X, q- C7 F通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。