一种获取Shadow SSDT服务函数原始地址的思路

• 作者: leminis
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 编程 SSDT win32k.sys
• 年，卷（期）: 2009,（4）
• 页码范围: 70-73
• 页数: 4页
• 分类号: TP316.7

摘要

随着Hook SSDT的泛滥，Hook Shadow SSDT估计也已经是Windows驱动入门都要学的了。既然有Hook，对应的就要有恢复。要做恢复．第一个要做的就是需要知道SSDT或者Shadow SSDT服务函数原始地址。而获取服务函数原始地址．就需要读取SSDT或者Shadow SSDT对应的内核文件ntoskrnl．exe（这个根据自己机器而定）以及win32k．sys。