IDT Hook是一個非常簡單的東東。這裡我們不討論IDTR，中斷處理過程等東西。
以後有時間補上（假如我有時間的話）。
IDT即中斷描述表。當然系統發生中斷時（有可能是CPU中斷，也有可能是I/O中斷等）。
系統會通過中斷向量查找IDT保存的ISR（中斷服務程序）來調用相關的處理例程。
IDT Hook就是替換這個ISR。
也許上面的過程你不是很明白。我們具體的瞭解下過程。
IDT是一個有256個入口的線性表。每個入口大小為8字節。
每個入口值我們稱為中斷向量（0..255）。
比如 int 30。30即中斷向量。當發生int 30中斷時，系統根據30找到IDT入口，
然後計算出ISR。調用之。
我們來看看相關的結構。
typedef struct
{
unsigned short LowOffset;
unsigned short selector;
unsigned char unused_lo;
unsigned char segment_type:4;
unsigned char system_segment_flag:1;
unsigned char DPL:2;
unsigned char P:1;
unsigned short HiOffset;
} IDTENTRY;
我首先要感嘆下C語言的強大。
unsigned char segment_type:4; 代表這個參數佔用4位。
以下都是如此。
unsigned char system_segment_flag:1;
unsigned char DPL:2;
unsigned char P:1;
他們一共佔用了一個字節。上面的結構一種佔用了8個字節。即IDT入口大小。
unsigned short LowOffset; 表示ISR地址是低字節
unsigned short HiOffset; 表示ISR地址的高字節。他們一起組成了ISR的地址。
對於其他的東東我們暫時不解釋。
還有一個數據結構。
typedef struct
{
unsigned short IDTLimit;
unsigned short LowIDTbase;
unsigned short HiIDTbase;
} IDTINFO;
unsigned short LowIDTbase;
unsigned short HiIDTbase; 他們共同組成了IDT線性表的地址。
這個結構用來幫助我們獲取IDT的位置。
在C語言中我可以通過 _asm sidt idt_info 來得到IDT的地址。
下面我們來看看完整的代碼。
extern "C"
{
#include <ntddk.h>
}
#define MAX_IDT_ENTRIES 0xFF
#define NT_INT_TIMER 0x30
#define MAKELONG(a,b)((ULONG)(((USHORT)(a))|((ULONG)((USHORT)(b))) << 16))
typedef struct
{
unsigned short LowOffset;
unsigned short selector;
unsigned char unused_lo;
unsigned char segment_type:4;
unsigned char system_segment_flag:1;
unsigned char DPL:2;
unsigned char P:1;
unsigned short HiOffset;
} IDTENTRY;
typedef struct
{
unsigned short IDTLimit;
unsigned short LowIDTbase;
unsigned short HiIDTbase;
} IDTINFO;
#pragma pack()
ULONG Old_ISR_Pointer,OldCr0;
VOID DriverUnload(PDRIVER_OBJECT pDriverObj);
VOID My_interrupt_Proc();
// 驅動程序加載時調用DriverEntry例程
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObj, PUNICODE_STRING pRegistryString)
{
pDriverObj->DriverUnload = DriverUnload;
//
IDTINFO idt_info;
IDTENTRY* idt_entry;
_asm sidt idt_info
idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);
//
Old_ISR_Pointer = MAKELONG(idt_entry[NT_INT_TIMER].LowOffset,idt_entry[NT_INT_TIMER].HiOffset);
//
_asm
{
cli;
//
mov eax, cr0;
mov OldCr0,eax;
and eax,not 10000;
mov cr0,eax;
}
idt_entry[NT_INT_TIMER].LowOffset = (USHORT)My_interrupt_Proc;
idt_entry[NT_INT_TIMER].HiOffset = (USHORT)((ULONG)My_interrupt_Proc >> 16);
_asm
{
mov eax,OldCr0;
mov cr0,eax;
//
sti;
}
// 請視情況返回DriverEntry例程執行結果
return STATUS_SUCCESS;
}
VOID DriverUnload(PDRIVER_OBJECT pDriverObj)
{
IDTINFO idt_info;
IDTENTRY* idt_entry;
_asm sidt idt_info
idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);
//
_asm
{
cli;
//
mov eax, cr0;
mov OldCr0,eax;
and eax,not 10000;
mov cr0,eax;
}
idt_entry[NT_INT_TIMER].LowOffset = (USHORT)Old_ISR_Pointer;
idt_entry[NT_INT_TIMER].HiOffset = (USHORT)((ULONG)Old_ISR_Pointer >> 16);
_asm
{
mov eax,OldCr0;
mov cr0,eax;
//
sti;
}
}
VOID My_interrupt_Proc()
{
_asm
{
jmp Old_ISR_Pointer;
}
}
留言列表