关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
--------------------------------------------------------------------------------
作者：suxm < suxm@nsfocus.com >
0 B+ A. Y% p, b. [2 ~5 U主页：http://www.nsfocus.com
$ u$ K3 ?/ e$ L9 ~& ]# a8 i% I2 |日期：2001-09-10

; R4 M% d7 ]5 f3 ~( x1 ^<<接上期>>
6 A4 [, Z! a+ L8 b- M
IDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。
9 @4 `$ i, Y* H' R( U- S
$ t2 n6 U2 M8 i6 ^/ P( T5 I, j[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
- r( G! X# J& B) U: P6 t呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
, X  ~9 f; T  G4 [* d4 K6 \下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
8 \6 U  w' H' [' Q+ L* N在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
& E) z% {6 K9 W6 Y! Y[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
[ suxm: 去看看上一期月刊的图1 ]
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。

/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
% @  Z0 O$ d6 g% W; W- B#define HOOKINT 0x38
NTSTATUS DriverSpecificInitialization( )
  V& k% C$ E) X5 r( C: J1 O' O{
" ^1 I9 @% S- A0 _" vPIdtEntry_t IdtEntry;
extern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;

! M9 U2 P5 b+ n- s( I- L. d. vNumberOfServices = KeServiceDescriptorTable->NumberOfServices;
0 [+ f" W2 E8 s3 n: A9 IServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);
8 I% Z7 J' t2 o: w+ Q- X' G
* n2 |" y" U  r; i& k- B! \/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
if (!ServiceCounterTable)
4 j: p7 D' Y# z( b; s. P  Freturn STATUS_INSUFFICIENT_RESOURCES;
# n9 d' t  i- H! R, I* x
memset(ServiceCounterTable, 0, ServiceCounterTableSize);
! ?: i5 i# x0 |. e( l*ServiceCounterTable=NumberOfServices;

/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
0 M1 Q8 p* E- CIdtEntry=(PIdtEntry_t)Idtr->Base;

  W2 v" |8 _$ U8 [/* HOOKINT就是我们想要hook的中断号
这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
OldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
(IdtEntry[HOOKINT].OffsetLow);

! P) w) \; g& R, M/* 在IDT表项的相应位置写入新的中断处理函数的地址
用新的中断处理函数替换原中断处理函数 */
% I, y; W( P0 U3 E  X3 T4 \7 ^- E9 N0 A% `_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
* i7 r* t; I6 P" t; F1 i# s. ?IdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
9 h. v( n0 m) |8 ?/ h& jIdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
_asm sti /* Enable中断请求 */

- v( n9 o* Z, e$ k7 Jreturn STATUS_SUCCESS;
$ g# w% c$ u  l}
- _( F4 q6 H& J. A! k* a1 `
% \4 p/ T5 y0 R+ E, g9 y' ~上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
" {, L1 t5 m6 vtypedef struct InterruptGate
' v/ P. |" U! _1 Z+ a{
( c+ T& D, E. K1 E( A: S9 Gunsigned short OffsetLow;
5 ~; f, m3 R& R% P5 v- Yunsigned short Selector;
8 v" n* D- ^' Iunsigned char Reserved;
unsigned char SegmentType;
8 \' Q. T) g2 {unsigned char SystemSegmentFlag;
unsigned char Dpl;
% S# U) H, L5 d; `8 ?+ ?4 Nunsigned char Present;
# K; h0 e1 p( i$ }# _unsigned short OffsetHigh;
6 U) L7 W$ M6 V5 {) C0 U) S} InterruptGate_t;
. {; n% L/ i# F# |6 k$ Q
在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？
3 b5 z0 V- h( x9 ?! u& M0 P- m
: U( g- u; _  m) [0 u$ n/ ?[ 读者小强：Winnt和2K的IDT中有空表项吗？]
是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
. s5 a3 {* _, `2 Q+ MNTSTATUS AddInterrupt()
{
PIdtEntry_t IdtEntry;

/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
IdtEntry=(PIdtEntry_t)Idtr->Base;
if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;
* P) O2 L( \& }3 Z% A0 v
_asm cli
% W  D  x$ [" Z" t$ Y; C/ J
/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
9 L) h$ F+ O- ]1 b9 m5 t: TIdtEntry[ADDINT].Selector=8;
IdtEntry[ADDINT].Reserved=0;
IdtEntry[ADDINT].Type=0xE;
IdtEntry[ADDINT].Always0=0;
  C/ V" Q4 W2 R& |IdtEntry[ADDINT].Dpl=3;
IdtEntry[ADDINT].Present=1;
IdtEntry[ADDINT].OffsetHigh=
(unsigned short)((unsigned int) InterruptHandler>16);
_asm sti
$ \/ u( z. R3 L$ M
! Z' N( H% R1 z8 {6 P% `$ u  Hreturn STATUS_SUCCESS;
}

让我们就上面的代码提一些问题。
Q: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
" p3 ~3 C4 Q, _  I* q4 NA：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
) K0 d1 n2 g+ Z  P/ @个段的名称就是8（CS=8）。
* c9 f+ ]4 T( c( E$ h' F' j% y
Q: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
9 N1 H5 j* R# ?1 `( A4 c# BA：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
应用程序的DPL=3，所以，可以直接触发这个中断。
5 Y9 d$ l+ C' d& e7 x" G
4 t( n! c& y. u# x% S* L- FQ: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
1 B( x8 w6 Q( J# EA：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
:idt
Int Type Sel:Offset Attributes Symbol/Owner
IDTbase=80036400 Limit=07FF
0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
1 w7 H# C/ E2 g& P! W……
* A$ e  h* _' S1 }4 p- P5 V可见，0xE表示IntG32。
! N; b+ _% k* A" K( a; t
终于快到下课的时间了，让我再多说几句好吗？
通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。