关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
  W2 B) F8 ?+ |# G% W& z, {8 l--------------------------------------------------------------------------------
' b; ^2 p7 a1 v9 `5 S4 W( |作者：suxm < suxm@nsfocus.com >
主页：http://www.nsfocus.com
日期：2001-09-10
$ E! C+ O  w' l
<<接上期>>
3 D1 n) N% ?! G* r( g+ T, s1 ?
& o2 S' y& u! M, @IDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。

  o4 N- x. _' j' D- ^[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
( j& D# K8 H% ^& @& d) W呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
2 e5 e, m/ U) G2 Q# E7 m+ Z& G0 M6 k4 a下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
2 I+ |) L& v+ G6 D7 V" {$ `在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
0 x( ?4 V# \, Z1 j0 P0 a& ]+ J[ suxm: 去看看上一期月刊的图1 ]
3 ~$ q( P6 ~1 I8 h; E# }下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。
: [& ^4 T5 u1 S& ]6 x
/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
#define HOOKINT 0x38
NTSTATUS DriverSpecificInitialization( )
# f- j* k2 W5 T) J{
PIdtEntry_t IdtEntry;
4 k: W0 m$ _6 M: Z" Q% b! [- Wextern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;
7 [$ n3 o& c$ {5 V- r& U5 J% a
NumberOfServices = KeServiceDescriptorTable->NumberOfServices;
3 V4 a( x: |, \9 E; }$ KServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);
& `8 O+ r8 E+ s, y# j( d" z
/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
if (!ServiceCounterTable)
return STATUS_INSUFFICIENT_RESOURCES;
6 |: |1 O+ w+ w9 X4 k
( b: f/ Q* u- u! l$ N4 Zmemset(ServiceCounterTable, 0, ServiceCounterTableSize);
*ServiceCounterTable=NumberOfServices;

( K5 v- @. s) ~& y$ v% P/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
2 |" E& p, R, p' y/ Y2 j& IIdtEntry=(PIdtEntry_t)Idtr->Base;

6 S4 h9 O0 I' }" e- C8 \8 i/* HOOKINT就是我们想要hook的中断号
, `9 s2 f+ e" l' s这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
OldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
(IdtEntry[HOOKINT].OffsetLow);
0 X5 c; r7 v# w
1 a: ^) D. m+ I/* 在IDT表项的相应位置写入新的中断处理函数的地址
用新的中断处理函数替换原中断处理函数 */
_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
IdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
+ @1 R, G# F3 L  L/ p" H! YIdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
_asm sti /* Enable中断请求 */
4 Y4 z3 N3 j: s8 ?: `
return STATUS_SUCCESS;
}
; f9 c4 g) c/ H% M) `8 M+ g
上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
# U  D. I: x2 H4 Stypedef struct InterruptGate
- R6 C  Z+ X" x" z, o) w{
unsigned short OffsetLow;
# y9 r9 a1 s( {& o- r0 ]unsigned short Selector;
& @3 F8 \# N/ `9 K& [/ @unsigned char Reserved;
unsigned char SegmentType;
) X& ]) i- p# `unsigned char SystemSegmentFlag;
unsigned char Dpl;
unsigned char Present;
3 p# n& V2 b* o& [! o+ runsigned short OffsetHigh;
} InterruptGate_t;

, Z; A2 w* C) T* i3 F在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？

[ 读者小强：Winnt和2K的IDT中有空表项吗？]
+ n- h& z$ t+ Y/ N1 a! f是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
NTSTATUS AddInterrupt()
+ X' l- V$ M4 c3 i, ?: w8 _{
PIdtEntry_t IdtEntry;

, q& K2 ~2 O4 v$ P$ K/* 获得IDTR Register 的Base Address和Limit*/
* f! q0 }- \* Z7 k" C3 k$ G) N_asm sidt buffer
- e; R' b, u0 m* A" ~, h2 iIdtEntry=(PIdtEntry_t)Idtr->Base;
if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;

_asm cli

+ D8 ~( ^# W2 S. h/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
# o$ Z9 K$ y4 ?9 H' v& `5 `IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
, E6 ^# R' x/ _: I2 V9 Q! PIdtEntry[ADDINT].Selector=8;
/ V% y0 R0 I7 T* ]IdtEntry[ADDINT].Reserved=0;
IdtEntry[ADDINT].Type=0xE;
: N# v) Y" w" pIdtEntry[ADDINT].Always0=0;
6 \+ E) z6 g8 Q. S1 M% B. p, ~  ZIdtEntry[ADDINT].Dpl=3;
4 C( I" |3 @) ~* z  [* W/ N4 c3 {IdtEntry[ADDINT].Present=1;
, E% [) S% m/ z+ [IdtEntry[ADDINT].OffsetHigh=
(unsigned short)((unsigned int) InterruptHandler>16);
_asm sti

return STATUS_SUCCESS;
% d- ]2 U; ~# j}
2 y3 d. x8 N" R( h: f+ L: H2 G+ f
  V; G8 O$ o/ B) V让我们就上面的代码提一些问题。
  |/ D" H8 \, {1 ?7 b1 t. x; e8 lQ: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
( X/ V( ?& d8 ?A：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
# w# S- J% [, s1 L" ^1 M( u个段的名称就是8（CS=8）。

" @- X8 N9 U' f+ x& IQ: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
A：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
应用程序的DPL=3，所以，可以直接触发这个中断。

Q: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
A：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
:idt
Int Type Sel:Offset Attributes Symbol/Owner
IDTbase=80036400 Limit=07FF
0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
# E, u- v/ o( _7 T0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
……
9 A1 [( l/ a) f3 y, l可见，0xE表示IntG32。
& g+ C! A9 c% c. S1 O
7 r$ w( ?: g5 ^* n2 N+ ]终于快到下课的时间了，让我再多说几句好吗？
# i( B- [$ W& |7 l2 I/ |通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。