关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
--------------------------------------------------------------------------------
+ [; \1 P0 v6 D% b4 k5 |' I作者：suxm < suxm@nsfocus.com >
主页：http://www.nsfocus.com
日期：2001-09-10
* h  y0 u# Y5 B" n* U1 P
; H4 r5 Y8 e& f0 G( s6 I<<接上期>>

IDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。

1 S! l0 j$ H  H9 N. i! D1 G3 p) D1 X[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
[ suxm: 去看看上一期月刊的图1 ]
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。
6 H5 I& V7 t* [- q& C
+ D* H& j: R* G& \/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
#define HOOKINT 0x38
4 Q" E" e; v7 j- y! |NTSTATUS DriverSpecificInitialization( )
{
PIdtEntry_t IdtEntry;
0 u2 F1 Q; H* H3 L7 m+ t3 Cextern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;
) M7 R4 C* k- t0 V* @% ?
NumberOfServices = KeServiceDescriptorTable->NumberOfServices;
ServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);
: ?. V- ^2 X* ]) u' @
/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
4 B. w0 [( l, H: E: x6 [9 V" _+ s+ Yif (!ServiceCounterTable)
return STATUS_INSUFFICIENT_RESOURCES;

memset(ServiceCounterTable, 0, ServiceCounterTableSize);
*ServiceCounterTable=NumberOfServices;

7 p( [% Y7 d7 l3 C! o1 H/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
IdtEntry=(PIdtEntry_t)Idtr->Base;

! W' V6 l2 z5 r) w& ?$ \* o. g/* HOOKINT就是我们想要hook的中断号
+ R/ ^1 l7 ^5 i这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
8 p+ d- h- `0 j3 zOldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
) T5 Z$ S3 q$ X0 q! H! C+ ~* N' ?(IdtEntry[HOOKINT].OffsetLow);

/* 在IDT表项的相应位置写入新的中断处理函数的地址
: ^8 K$ Q# d" L用新的中断处理函数替换原中断处理函数 */
& E7 ^6 K2 t2 J_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
5 u, W* i5 J+ M' M# L3 b; ^IdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
$ @9 I6 ]; b8 E7 h  r) ?IdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
_asm sti /* Enable中断请求 */

return STATUS_SUCCESS;
. I1 |8 _; M/ m9 {; L- |6 }}

: }- Y2 M3 l4 X$ b上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
4 k+ {. C7 B: O  Rtypedef struct InterruptGate
  n8 J  Z2 V+ D5 D: f{
- V% \' s8 ~4 M. Y1 I4 }: Y% munsigned short OffsetLow;
& W2 ?! m" {4 }6 v; }: g  D* Munsigned short Selector;
0 X7 g4 y( K' m1 @6 Wunsigned char Reserved;
, a5 U) i1 S- p3 o; vunsigned char SegmentType;
unsigned char SystemSegmentFlag;
unsigned char Dpl;
% e' B! m3 B- @( ounsigned char Present;
- y2 a1 C+ N7 z( g4 Gunsigned short OffsetHigh;
% _8 N- S2 V, C! G" N} InterruptGate_t;
' O  n5 i, p- x& ]" |% |
  N# U7 d, y7 r. x  H4 r, p在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？
- H3 V9 _4 Q) r& C  d
[ 读者小强：Winnt和2K的IDT中有空表项吗？]
是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
+ b$ a2 e6 \6 J4 G: U* QNTSTATUS AddInterrupt()
7 q) X; N1 L- M5 r2 u{
PIdtEntry_t IdtEntry;

5 z2 b/ h2 F" T  g8 _8 K2 _' _/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
IdtEntry=(PIdtEntry_t)Idtr->Base;
if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;
& l' l: `$ C' X  M5 d3 h. ?, u
_asm cli
8 P; \& n2 d2 d% o
/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
IdtEntry[ADDINT].Selector=8;
IdtEntry[ADDINT].Reserved=0;
# }5 Q- K! N  X  y' KIdtEntry[ADDINT].Type=0xE;
IdtEntry[ADDINT].Always0=0;
IdtEntry[ADDINT].Dpl=3;
IdtEntry[ADDINT].Present=1;
IdtEntry[ADDINT].OffsetHigh=
(unsigned short)((unsigned int) InterruptHandler>16);
& v3 G# x, n' `9 X( W8 m. b_asm sti

% A5 _4 {0 T# w' g+ S- k2 vreturn STATUS_SUCCESS;
}

让我们就上面的代码提一些问题。
1 e0 S& {' t" W' r! R! `0 fQ: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
  y0 I8 f( D* x5 i& }A：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
6 A. E' A8 n0 q7 l个段的名称就是8（CS=8）。
; y# c5 Q0 W& X
Q: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
A：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
& l9 c# q. c6 w5 A应用程序的DPL=3，所以，可以直接触发这个中断。

Q: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
A：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
& u; t* N" a/ s. v  M# G7 v+ P! y:idt
Int Type Sel:Offset Attributes Symbol/Owner
IDTbase=80036400 Limit=07FF
8 P% \: F6 t  ?0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
, L$ l9 v: T" t) G$ E& _+ T0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
+ M; u2 L- }9 @' U5 R……
# F; M( j8 ]7 ?; |可见，0xE表示IntG32。

5 C& X: S9 S6 j, y- U  |; j; D0 p7 m0 B终于快到下课的时间了，让我再多说几句好吗？
通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。