关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
" O7 n  J5 K* F, k6 K--------------------------------------------------------------------------------
; v' L" N: s, i. E! d% p作者：suxm < suxm@nsfocus.com >
+ k, H% _/ l5 i# y, y2 I8 K5 w主页：http://www.nsfocus.com
日期：2001-09-10
% L' I# S& {& l# H7 ^5 a8 C7 L! P
<<接上期>>

8 [, V' u0 ?( K/ x9 `: t# T2 ?IDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。
: d0 H) y6 L; ?4 m, P2 @; r: {: |
[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
1 v- r& i  f! T, X2 x* Z下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
[ suxm: 去看看上一期月刊的图1 ]
- E4 z" \  |; L  ~下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。

/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
; j9 a5 x' P% l1 a2 e+ a6 Q8 ^#define HOOKINT 0x38
NTSTATUS DriverSpecificInitialization( )
$ t' ?2 U! l$ c0 u{
PIdtEntry_t IdtEntry;
extern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;
& S- u/ s/ \, o! }% b1 C
NumberOfServices = KeServiceDescriptorTable->NumberOfServices;
& |# g* ~3 d  TServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);
1 i$ ]1 t/ {9 [
/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
  s5 {1 Y% ]4 d4 jif (!ServiceCounterTable)
return STATUS_INSUFFICIENT_RESOURCES;

7 {, o% ?% c! V/ ?memset(ServiceCounterTable, 0, ServiceCounterTableSize);
" O3 j4 {& D$ A% j*ServiceCounterTable=NumberOfServices;
5 p2 s: G8 O% j# t
/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
4 s0 z2 U) A& hIdtEntry=(PIdtEntry_t)Idtr->Base;
" a8 u. i- Q' H1 L1 t, `3 ?- a
( @. n$ e3 Y% Q1 z% ^/* HOOKINT就是我们想要hook的中断号
这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
# ?& p  u% F7 a+ W: d7 j5 I5 HOldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
(IdtEntry[HOOKINT].OffsetLow);

/* 在IDT表项的相应位置写入新的中断处理函数的地址
用新的中断处理函数替换原中断处理函数 */
_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
# U! v# [/ [* Y3 I- M9 SIdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
* _! Q- w6 j! V# ^. v4 i' X) N' MIdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
% a8 {) t8 n0 G_asm sti /* Enable中断请求 */

return STATUS_SUCCESS;
}

: V/ a4 E  S" Y9 f9 l上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
/ k/ @5 b1 I, {1 Z6 q% q! Ztypedef struct InterruptGate
{
- \; Q$ z; K# S" m& eunsigned short OffsetLow;
unsigned short Selector;
unsigned char Reserved;
* V5 ^) u, R  i1 v, y6 @unsigned char SegmentType;
: H. [5 g# s; ^, X0 \4 sunsigned char SystemSegmentFlag;
unsigned char Dpl;
unsigned char Present;
unsigned short OffsetHigh;
; }, Y; Q; a7 c: |} InterruptGate_t;

在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？

[ 读者小强：Winnt和2K的IDT中有空表项吗？]
是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
* Q6 _) I/ w5 f下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
NTSTATUS AddInterrupt()
{
6 L' |- k2 i9 [4 K8 ~6 [( b( uPIdtEntry_t IdtEntry;
: s1 M1 n2 c3 m% @7 N# C1 B
+ t& Q  X. _* Q  Z- }, ~- s; W/* 获得IDTR Register 的Base Address和Limit*/
) ]3 I$ X5 ~2 b7 o+ H! X_asm sidt buffer
IdtEntry=(PIdtEntry_t)Idtr->Base;
if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;
) e& v* X+ a8 x) [' }7 \, g4 w5 c
+ M' T" ?# u: {4 T/ r2 v_asm cli

/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
IdtEntry[ADDINT].Selector=8;
' t6 G, U. m- r! c( z9 u& k; SIdtEntry[ADDINT].Reserved=0;
# S% a  Y3 a7 N  SIdtEntry[ADDINT].Type=0xE;
IdtEntry[ADDINT].Always0=0;
9 D- Z' I' @9 J/ j6 f6 X/ bIdtEntry[ADDINT].Dpl=3;
, }7 U+ {7 K+ Z# f; hIdtEntry[ADDINT].Present=1;
: l5 Y  @% E. i) [, QIdtEntry[ADDINT].OffsetHigh=
(unsigned short)((unsigned int) InterruptHandler>16);
_asm sti
) R7 x4 @/ l6 R! a8 c- w0 ^
4 H6 x6 _' l( a$ Areturn STATUS_SUCCESS;
}

让我们就上面的代码提一些问题。
Q: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
2 ~8 o" ^8 O2 |0 J& T1 oA：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
个段的名称就是8（CS=8）。

+ q+ g8 K2 n2 jQ: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
A：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
3 F; J6 k0 ~% M/ z# R应用程序的DPL=3，所以，可以直接触发这个中断。

9 w  Y2 Q  J! F( i% U5 gQ: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
3 `4 n' ^4 N7 Y! y8 QA：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
:idt
' H( ^" U" ?& t5 l( sInt Type Sel:Offset Attributes Symbol/Owner
IDTbase=80036400 Limit=07FF
0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
) t9 a* I: ]% i+ K0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
……
: C) A8 t) l* C) }4 c可见，0xE表示IntG32。
0 @+ r: O2 d% `6 }  |
终于快到下课的时间了，让我再多说几句好吗？
5 k" ]& R* R0 d$ e7 S通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。