关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
--------------------------------------------------------------------------------
! {& B9 a) r. C( i/ w. u' t$ W$ }作者：suxm < suxm@nsfocus.com >
6 n) b8 ~1 P: y# Z# w- U8 m. L主页：http://www.nsfocus.com
日期：2001-09-10
: `6 ]2 m9 J0 d. I) t
<<接上期>>

% o1 \- @- G, U/ W2 r1 R% F& r* `8 bIDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。

[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
& D/ E- y; {* |1 l# i' M% R; X6 O下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
5 d2 [# C9 h  j5 D" G/ g, D在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
- Q! J$ q$ z) u% p# n" i[ suxm: 去看看上一期月刊的图1 ]
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。
) r/ R3 d! Z# }, y( p  _
- u: I4 `/ ?( I8 q/ h0 B3 M4 _/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
#define HOOKINT 0x38
NTSTATUS DriverSpecificInitialization( )
{
PIdtEntry_t IdtEntry;
extern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;

NumberOfServices = KeServiceDescriptorTable->NumberOfServices;
ServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);

/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
if (!ServiceCounterTable)
4 ]& w. {5 Z" z6 K! greturn STATUS_INSUFFICIENT_RESOURCES;
( o" a. r" L* C  ^+ b8 k
memset(ServiceCounterTable, 0, ServiceCounterTableSize);
6 h" c: Y) ^: R. ~*ServiceCounterTable=NumberOfServices;
: S5 J3 l; V% b9 E$ D7 L1 y
/* 获得IDTR Register 的Base Address和Limit*/
: l7 a- Z5 \/ X0 z0 h/ X& x  S_asm sidt buffer
IdtEntry=(PIdtEntry_t)Idtr->Base;
# q4 O, v, y0 D& K
/* HOOKINT就是我们想要hook的中断号
这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
OldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
, ?% q  P# W7 Y. k- n(IdtEntry[HOOKINT].OffsetLow);
4 _- D! F7 y. I5 [
( ~' w. I& l) j( D1 J; b, `1 ^/* 在IDT表项的相应位置写入新的中断处理函数的地址
9 v5 g" ]5 [1 K用新的中断处理函数替换原中断处理函数 */
_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
# o" |5 M( n* e& zIdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
5 n7 C# H8 o' A! x; p5 c; }IdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
3 k  l: W( P7 U. J_asm sti /* Enable中断请求 */
( O8 ^% k6 n8 C: i" l
4 J% T1 h# r( `return STATUS_SUCCESS;
}
9 v. |2 ?) Q% h: ?* x
, I4 m8 G& @1 H! j上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
& b5 p( u7 q4 wtypedef struct InterruptGate
{
unsigned short OffsetLow;
% z, i) t& |8 m& |unsigned short Selector;
unsigned char Reserved;
unsigned char SegmentType;
unsigned char SystemSegmentFlag;
unsigned char Dpl;
unsigned char Present;
( `) ?. k' d. Z0 xunsigned short OffsetHigh;
} InterruptGate_t;
9 @8 L- T' [5 P. W9 v" h
在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？
2 N, @* Q, M  T6 O0 J/ y0 Y& c/ f
$ n8 J6 U. f8 e1 N( a4 ~[ 读者小强：Winnt和2K的IDT中有空表项吗？]
; Q9 v; o* g5 d/ l9 J是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
5 h8 [  z- z6 ^, i. s0 o& i; W下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
7 ~! Q& p3 t$ G3 H6 J7 ]NTSTATUS AddInterrupt()
$ D3 t$ o2 J0 m0 A! K{
; S% \% w& n, QPIdtEntry_t IdtEntry;
4 J6 H8 {7 C8 E6 G
/* 获得IDTR Register 的Base Address和Limit*/
$ h2 i5 t$ B9 n  x; ]( q8 y6 n& U2 f; R5 V_asm sidt buffer
IdtEntry=(PIdtEntry_t)Idtr->Base;
2 n3 l1 @! A' T/ k7 k2 aif((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;
1 j! q$ Z% j8 k3 C- {2 J
4 W9 m: E2 y9 ]% |" l1 T4 n* j_asm cli

/ z- E/ |" a& x' B2 d/ t/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
IdtEntry[ADDINT].Selector=8;
  U% a" S; q; c+ `9 yIdtEntry[ADDINT].Reserved=0;
IdtEntry[ADDINT].Type=0xE;
IdtEntry[ADDINT].Always0=0;
4 \* M+ G& |% |& e7 q$ p: NIdtEntry[ADDINT].Dpl=3;
IdtEntry[ADDINT].Present=1;
IdtEntry[ADDINT].OffsetHigh=
(unsigned short)((unsigned int) InterruptHandler>16);
_asm sti
  }8 p2 X# {" _/ L
return STATUS_SUCCESS;
}
7 o5 g! u! N; u8 X/ Q5 |
让我们就上面的代码提一些问题。
0 x/ v% A) v8 |2 N+ DQ: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
A：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
个段的名称就是8（CS=8）。
; u4 d  o. T! x3 z1 d3 s2 n
Q: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
' E4 z' |( C! N+ Z0 d. cA：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
0 ]  X/ E. R: {( l应用程序的DPL=3，所以，可以直接触发这个中断。
$ m9 G* A5 q! o" e- N6 E
2 m& A- Z8 s1 QQ: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
/ @- y3 b: W& V* \2 y. P" p- BA：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
9 f( `) j9 V1 J:idt
' t8 O  A, p* O8 S! u# H. n( y* RInt Type Sel:Offset Attributes Symbol/Owner
IDTbase=80036400 Limit=07FF
0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
……
可见，0xE表示IntG32。
8 w: j! z9 M- z5 P
% [" k: U1 o4 G+ D# k9 ?# e终于快到下课的时间了，让我再多说几句好吗？
通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。