关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
--------------------------------------------------------------------------------
作者：suxm < suxm@nsfocus.com >
主页：http://www.nsfocus.com
7 L7 Q% q0 B. R9 A! R8 k' o# W日期：2001-09-10
. [; p+ K! r  w4 O0 R( o9 t7 ]
( ?( U" `! J+ U/ i. k* k<<接上期>>

" k& h8 C( h1 n6 p* \$ f) j/ Q( `IDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。

[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
2 c% C6 O  @( z8 F呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
' F8 O+ f7 X; Z6 g  R在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
5 ]' v3 D4 \* `- R. Y1 Z$ E, q通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
[ suxm: 去看看上一期月刊的图1 ]
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。
% G: b% a' G- S* x# t; D
8 C6 N3 i* Q& Z/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
#define HOOKINT 0x38
NTSTATUS DriverSpecificInitialization( )
{
# ]9 {9 j7 P2 I. v: G6 }PIdtEntry_t IdtEntry;
extern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;

7 c$ i8 @" z2 @" UNumberOfServices = KeServiceDescriptorTable->NumberOfServices;
/ m2 e7 m$ V( EServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);
( C3 U  e; z3 X) w- F
+ y' x. C  D  {1 G; q/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
" w4 S' H* j2 ?% h$ X: M! g5 Q" Nif (!ServiceCounterTable)
8 E/ S/ d0 N$ m5 o0 i( N% lreturn STATUS_INSUFFICIENT_RESOURCES;
  f2 T" h& O' \, Q  p
0 `# n0 q, V2 R: vmemset(ServiceCounterTable, 0, ServiceCounterTableSize);
*ServiceCounterTable=NumberOfServices;
3 l9 D9 I4 b5 _% e9 R& a# d  i
/* 获得IDTR Register 的Base Address和Limit*/
5 x  X0 `" g9 r7 d9 O/ u_asm sidt buffer
, N1 P9 @$ g6 l; P( RIdtEntry=(PIdtEntry_t)Idtr->Base;
& ]" i: b( j. c6 D& \, N9 G
/* HOOKINT就是我们想要hook的中断号
这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
6 l; X( Y" V: M' y, lOldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
(IdtEntry[HOOKINT].OffsetLow);

/* 在IDT表项的相应位置写入新的中断处理函数的地址
) s' p2 ]$ t' P8 i. D; o6 B7 o用新的中断处理函数替换原中断处理函数 */
$ l1 S8 }: C7 ]% h7 z_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
IdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
+ }7 i+ v' k8 s' aIdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
$ \2 E) x6 M: s/ F7 Q% C_asm sti /* Enable中断请求 */
( J1 `9 r, l2 ?( ~, E
return STATUS_SUCCESS;
}
" Z+ @2 \- ~/ d+ S, Y) a+ q
上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
  X. B0 l7 o( k- o4 ~typedef struct InterruptGate
{
* b0 r/ R' G# r; M, Bunsigned short OffsetLow;
unsigned short Selector;
! D" q3 |* K% A# l' c( wunsigned char Reserved;
' r: H9 ?8 r7 V! _+ Aunsigned char SegmentType;
unsigned char SystemSegmentFlag;
/ y6 B# a6 \, Z% f* A* r0 x  Runsigned char Dpl;
unsigned char Present;
+ l( X3 K* h; u% tunsigned short OffsetHigh;
+ r! u# Z7 ~& m# D- M. M8 Q} InterruptGate_t;

在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？

[ 读者小强：Winnt和2K的IDT中有空表项吗？]
* e0 W; O! N) q6 [* E6 |/ m是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
NTSTATUS AddInterrupt()
{
PIdtEntry_t IdtEntry;

3 e- y1 B9 s7 t- F8 p/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
IdtEntry=(PIdtEntry_t)Idtr->Base;
if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;
7 \! Z7 ~) ?8 \- V3 x0 R, ]; z& V
( J8 h- C6 c: _4 z' ~  u% k9 x_asm cli
2 h" m  C5 {% l- d8 Y% e) n
/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
IdtEntry[ADDINT].Selector=8;
IdtEntry[ADDINT].Reserved=0;
IdtEntry[ADDINT].Type=0xE;
' q: n! v6 \% |2 ~# \3 AIdtEntry[ADDINT].Always0=0;
IdtEntry[ADDINT].Dpl=3;
# X- c, t7 I- U/ i" Z5 w, _IdtEntry[ADDINT].Present=1;
IdtEntry[ADDINT].OffsetHigh=
. S3 H. X) _+ ?: M& B, b! y(unsigned short)((unsigned int) InterruptHandler>16);
_asm sti

return STATUS_SUCCESS;
}

: F7 @" G* r& o让我们就上面的代码提一些问题。
- `( M; l6 ~- w& r+ t& kQ: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
! ]3 O9 B* I4 Y" W( a- kA：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
个段的名称就是8（CS=8）。
/ e6 x/ e/ ^, `  w( q. ]
' S0 h  C, K& e( w: L* ZQ: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
A：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
应用程序的DPL=3，所以，可以直接触发这个中断。
$ {, c5 }* D7 U+ _& [/ t' t
" e5 ~) e( t% s% rQ: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
3 T" E: X5 k/ N" s6 M: WA：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
:idt
+ F7 Y! G$ ^' J. Y; o! p6 nInt Type Sel:Offset Attributes Symbol/Owner
( b5 [  O( g! o$ E# WIDTbase=80036400 Limit=07FF
. |# X, w1 H* L6 S: H0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
. n9 z. X6 `  G0 F0 P) E, K8 }0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
……
& o* e, ~/ F( t& f; @5 L% h可见，0xE表示IntG32。
  J. v9 |3 j* R5 f$ W$ I0 K4 }' z
终于快到下课的时间了，让我再多说几句好吗？
) {: F. w. B3 }- g+ z: T# u1 G1 {通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。