关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
--------------------------------------------------------------------------------
, l& Z$ g6 e" ^. E) N作者：suxm < suxm@nsfocus.com >
1 @- `7 j- R7 a8 L, ?6 z! r+ a5 C主页：http://www.nsfocus.com
0 r5 t" Y  U4 s% p  d: ]( q日期：2001-09-10

<<接上期>>
+ h  E5 S4 A) z0 W
2 V$ ], X/ L5 P& KIDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。
7 Z( ?/ Q' `% s+ `7 T
[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
" X' h! J, L2 V: q: E呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
# \% V: T( y3 ~. Y; ?9 P在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
* c2 n/ x9 d/ m: \7 V* x[ suxm: 去看看上一期月刊的图1 ]
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。

) b% w/ Z9 S; q3 m! m! c# J4 i& M/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
#define HOOKINT 0x38
NTSTATUS DriverSpecificInitialization( )
{
0 J& k2 K$ c8 t' p- A7 p& [3 pPIdtEntry_t IdtEntry;
9 L* @+ J6 R- L; j6 Oextern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;
4 V! C, b4 C! ?1 l/ M
# J4 n1 i9 ^& x/ f( {8 MNumberOfServices = KeServiceDescriptorTable->NumberOfServices;
+ L5 Y9 ^: q. d! u7 T3 `1 ]. W5 L; eServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);
- A/ l' C5 T, r9 ^8 M% B, M+ @
/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
" M8 Z' m: L4 X0 C& R/ D* k% Qif (!ServiceCounterTable)
return STATUS_INSUFFICIENT_RESOURCES;
, p. Z9 y5 ]3 K( X) R+ i
0 B9 V2 N" O( _% }: L8 j5 Fmemset(ServiceCounterTable, 0, ServiceCounterTableSize);
*ServiceCounterTable=NumberOfServices;

/* 获得IDTR Register 的Base Address和Limit*/
$ {2 U3 O& H5 T. g* F  ?. __asm sidt buffer
IdtEntry=(PIdtEntry_t)Idtr->Base;

/* HOOKINT就是我们想要hook的中断号
) N; U  x; M1 W! v* Z这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
2 v( E: ~; S# M- X2 f9 VOldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
( J* h7 Q, |' _' q) d8 N(IdtEntry[HOOKINT].OffsetLow);

/* 在IDT表项的相应位置写入新的中断处理函数的地址
用新的中断处理函数替换原中断处理函数 */
_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
0 S" f; f4 V$ P% gIdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
IdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
_asm sti /* Enable中断请求 */

return STATUS_SUCCESS;
}
; ^; ~) {; q$ ]/ J* {% F% X, R6 U
( t+ l4 l; j4 e- G7 M, x上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
: B" V9 m$ f* I4 ctypedef struct InterruptGate
{
/ q) u5 S+ v* zunsigned short OffsetLow;
, l# R: S* g" d; Dunsigned short Selector;
1 w) m* X/ O6 c5 Q4 }% S9 u+ t) h  [unsigned char Reserved;
unsigned char SegmentType;
- I2 a. l! _* U. O/ ?; runsigned char SystemSegmentFlag;
unsigned char Dpl;
unsigned char Present;
# |4 C# T3 B: _& L, l4 N; vunsigned short OffsetHigh;
- _2 v, r. ~6 [! ]; `- P} InterruptGate_t;
+ {+ |* Y2 n6 t* I; I: b, b
& y: Z, c: E" p$ Z在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？

[ 读者小强：Winnt和2K的IDT中有空表项吗？]
0 f3 k# O. H1 x' G8 B7 ^2 S+ k; m& U3 |是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
0 N) U7 m8 t4 s4 G# M下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
NTSTATUS AddInterrupt()
3 u# @8 O2 ^% d9 i# \& B{
4 ~( E8 e- h* T- k( o, FPIdtEntry_t IdtEntry;

/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
# K# _  h3 |) n# O" ^. J: |IdtEntry=(PIdtEntry_t)Idtr->Base;
6 o5 W& l4 t  ?7 s8 U% |if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;
& A) r0 v# P  n! [
_asm cli

/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
" d5 `: ^# O$ v7 m$ ?+ e6 W' yIdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
IdtEntry[ADDINT].Selector=8;
IdtEntry[ADDINT].Reserved=0;
IdtEntry[ADDINT].Type=0xE;
# @4 Q0 e" ~3 h; Q/ o% f0 n& yIdtEntry[ADDINT].Always0=0;
5 F8 A1 `! P3 E# C4 iIdtEntry[ADDINT].Dpl=3;
/ S9 ?5 _) `7 a; O; KIdtEntry[ADDINT].Present=1;
IdtEntry[ADDINT].OffsetHigh=
(unsigned short)((unsigned int) InterruptHandler>16);
- Q$ M: d; c9 r, K4 m4 |* E% l_asm sti

/ t7 r  C# }# d! K. g+ u5 y# x+ Nreturn STATUS_SUCCESS;
}
3 Y8 ?6 v, M" h$ h3 n7 u+ Y9 a
让我们就上面的代码提一些问题。
Q: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
A：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
个段的名称就是8（CS=8）。

) B/ ?. d. J% m: C! y% P/ @Q: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
A：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
应用程序的DPL=3，所以，可以直接触发这个中断。
. B  T) V, Q8 U, l! k
% L/ d9 J& `- }2 ~Q: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
( ~4 w% G% ?! A' ^4 hA：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
% p: o7 \; b! l/ d6 B:idt
Int Type Sel:Offset Attributes Symbol/Owner
: d3 ?& a, T& G& jIDTbase=80036400 Limit=07FF
0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
……
可见，0xE表示IntG32。
& l! R: Y- n2 J6 Q% X. }
终于快到下课的时间了，让我再多说几句好吗？
, Z# i5 G: |- I- {通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。