WINDOWS内核学习笔记1—Shadow SSDT表

最新推荐文章于 2026-05-15 09:58:16 发布

原创最新推荐文章于 2026-05-15 09:58:16 发布 · 1k 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#内核

内核学习笔记专栏收录该内容

8 篇文章

订阅专栏

本文介绍了Windows系统中ShadowSSDT表的基本概念及其重要性，并详细解释了如何在WINDBG下查看该表，提供了获取ShadowSSDT表地址的四种方法之一的具体实现。

近期学习内核的东西，感觉会忘记，记录一下学习过程的收获，日后也方便查找。

1.关于Shadow SSDT表

系统中一共有两个SDT，一个是ServiceDescriptorTable，另一个是ServiceDescriptorTableShadow。ServiceDescriptor中只有指向KiServiceTable的SST，而ServiceDescriptorTableShadow则包含了所有的两个SST。SSDT是可以访问的，而SSDTShadow是不公开的。如何在WINDBG下查看Shadow SSDT,参考:http://blog.csdn.net/gaara_fan/article/details/6277657

2.取Shadow SSDT表地址的4种方法

KeServiceDescriptorTableShadow包含4个子结构，其中第一个就是ntoskrnl.exe,和SSDT指向一样，第二个win32k.sys,我们需要的就是这个，第三第四个一般不用。

同一操作系统中SSDT表和ShadowSSDT表的偏移大小相同。

#define VERSION_2K 50
#define VERSION_XP 51

ULONG GetVersion()
{
ULONG rtn=0;
ULONG MajorVer,MinVer,BuildNumber;
PsGetVersion(&MajorVer,&MinVer,&BuildNumber,NULL);
rtn=MajorVer;
rtn=rtn*10;
rtn+=MinVer;
return rtn;
}

ULONG GetSSDTShadow_Addr()
{
ULONG SSDTShadow_Addr=0;
ULONG Version=GetVersion();
KdPrint(("version:%d",Version));
switch(Version)
{
case VERSION_2K:
break;
case VERSION_XP:
SSDTShadow_Addr=(ULONG)KeServiceDescriptorTable-0x40; //XP系统下
break;
}
KdPrint(("SSDTShadow_Addr:%x\n",SSDTShadow_Addr));
return SSDTShadow_Addr;
}

这里只给出其中一种方法，其他的可参考百度文库：http://wenku.baidu.com/link?url=wpnM25THNZX-YI6xQxCP33HL-Ts6HyMXm6ibtx-jyXPi6HdyV85MCOV01iPTL92dasj5t1e-lMi_ZUuhoK-CXkdrRHfrGbEXDTfsrrQljaG