关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
( {1 G" ^, Z$ n# X--------------------------------------------------------------------------------
. y2 a8 s$ n( q- a作者：suxm < suxm@nsfocus.com >
+ N; ], O0 ]" J2 h主页：http://www.nsfocus.com
+ x# G0 g4 q8 X" m. A日期：2001-09-10

# Y* u8 m: \+ J<<接上期>>
" y, |8 `4 O2 d) {  ], o+ Y
IDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。

[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
! g0 w  q# ]: o% ]' [( j通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
[ suxm: 去看看上一期月刊的图1 ]
& O  d+ S! u8 Q! m+ E9 U下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。

/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
( B) _( O) G7 S#define HOOKINT 0x38
# g) B. z, w1 S1 r. ]1 K$ fNTSTATUS DriverSpecificInitialization( )
- w" V; `6 X0 y+ ^* y{
, v! P! {. V2 c# N3 h/ R( Q( r* Q1 HPIdtEntry_t IdtEntry;
% ]; K" C; r' z1 c" m; T$ R1 ]extern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;

. J' T% X6 V" W! kNumberOfServices = KeServiceDescriptorTable->NumberOfServices;
ServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);

. X$ {5 y7 p: p/ T7 t% V+ f/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
; W/ a2 c6 ]. B, R* y$ B/ V  b& yif (!ServiceCounterTable)
# }- }9 x6 ^. v" p5 K/ k$ wreturn STATUS_INSUFFICIENT_RESOURCES;
: Y) r1 l! f' L% k7 b, C# Z' X0 G  `
memset(ServiceCounterTable, 0, ServiceCounterTableSize);
, z8 N1 b, |3 S; P& a2 {$ e- m; i*ServiceCounterTable=NumberOfServices;
- s( d0 [1 f/ I# m4 l( X0 U- z
/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
( T) g% |- H( uIdtEntry=(PIdtEntry_t)Idtr->Base;

/* HOOKINT就是我们想要hook的中断号
; a* G8 P% g8 S: J这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
OldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
# n/ I1 @1 h! a( X, |! L. z(IdtEntry[HOOKINT].OffsetLow);
1 o( P5 E8 t/ Y+ [
& r/ f3 m7 V3 Z$ p1 W6 E* U( R/* 在IDT表项的相应位置写入新的中断处理函数的地址
  C5 v7 u0 `: E. a用新的中断处理函数替换原中断处理函数 */
9 q4 b- H( t1 @" o5 n_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
/ a1 D6 O, K7 m. `# w  D8 s0 gIdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
IdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
0 ~: D. ^. Z- c* r1 f  __asm sti /* Enable中断请求 */

return STATUS_SUCCESS;
7 b6 K, U8 o6 A: e: d( Z}

上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
typedef struct InterruptGate
{
) Z) O; I4 {& D! h5 dunsigned short OffsetLow;
" o. R1 R* f' t8 w0 k3 \unsigned short Selector;
, C* i0 b7 C2 ~7 u/ S; Dunsigned char Reserved;
3 s* h+ f* S1 R+ hunsigned char SegmentType;
unsigned char SystemSegmentFlag;
unsigned char Dpl;
unsigned char Present;
5 r% y" G6 y$ p6 z5 [# D8 ?' y9 lunsigned short OffsetHigh;
1 P/ l# s% y( J5 R) ?} InterruptGate_t;
' P& F. X# C. L1 u# f! s& L5 E
在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？
0 g- g1 q$ i: W
! F. O. P0 W+ P+ \[ 读者小强：Winnt和2K的IDT中有空表项吗？]
是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
. F4 @2 w8 H# [) gNTSTATUS AddInterrupt()
{
+ p; q$ W/ Y! m% j& Y8 ]PIdtEntry_t IdtEntry;
2 d" ]$ T/ u6 ]8 @- y8 a  \
) d% N0 ~- f" @, B+ M% s/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
IdtEntry=(PIdtEntry_t)Idtr->Base;
* y" J7 F8 V3 b, @+ L# [if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;
. x6 o* T% o) B
_asm cli

/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
IdtEntry[ADDINT].Selector=8;
: y: F, _$ I; o$ n' V5 }IdtEntry[ADDINT].Reserved=0;
IdtEntry[ADDINT].Type=0xE;
& r0 V9 [( M% }( U: L4 \IdtEntry[ADDINT].Always0=0;
IdtEntry[ADDINT].Dpl=3;
IdtEntry[ADDINT].Present=1;
  O5 q/ ^' z7 p+ A3 G- `6 F3 sIdtEntry[ADDINT].OffsetHigh=
, f' V2 x' t# {7 P3 M3 R(unsigned short)((unsigned int) InterruptHandler>16);
_asm sti

return STATUS_SUCCESS;
! I5 z; P4 \( X1 Q* \0 q. b}
+ U7 c+ Y5 }; G% O  ~
让我们就上面的代码提一些问题。
, D  p: {$ o! g; t7 D. {! h& oQ: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
( ^, ?- V* H: @4 h  M+ R6 wA：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
6 U+ c2 C% I- q2 a个段的名称就是8（CS=8）。

7 _/ m: M1 v3 D3 EQ: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
) {! e% x/ r$ u3 MA：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
应用程序的DPL=3，所以，可以直接触发这个中断。
( V( ^! ^" [# j  G) v) p$ i; ^: S+ ]
Q: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
A：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
  C0 D8 X8 _- ^- y0 h7 H, R8 x8 c) ?:idt
( c% t, ?+ J! {* u4 {Int Type Sel:Offset Attributes Symbol/Owner
IDTbase=80036400 Limit=07FF
0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
……
$ t9 @( r8 ?7 Q, Q. L可见，0xE表示IntG32。
4 q3 m8 K3 S2 p
/ \$ m( Z. z% v2 W/ p- b. g, r% ]终于快到下课的时间了，让我再多说几句好吗？
通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。