使用WinDbg获取SSDT函数表对应的索引再计算得出地址

时间：2018-01-30 19:30:56 阅读：215 评论：0 收藏：0 [点我收藏+]

当从Ring3进入Ring0的时候会将所需要的SSDT索引放入到寄存器EAX中去，
所以我们这里通过EAX的内容得到函数在SSDT中的索引号，然后计算出它的地址
首先打开WinDbug，我们以函数ZwQueryObject为例：

技术分享图片

从mov eax 0F8h,知道我们的索引号是0F8h.
来验证一下，看看是不是函数ZwQueryObject。

我们先获取到SSDT的地址：

技术分享图片

第一个8488a43c是SSDT的基地址，我们知道函数的地址等于SSDT基地址
+4*索引号，算出函数指针地址为8488a81c

技术分享图片

最后u 84a0e0b5得到反汇编看出我们正确得到了ZwQueryObject

技术分享图片

这两天学习一个大神的SSDT Hook下次贴出来当作心得

原文地址：https://www.cnblogs.com/L-Sunny/p/8385880.html

踩

(0)

评论一句话评论（0）

分享档案

更多>

周排行