IDT HOOK思路整理

时间：2021-01-17 07:44:25

IDT（中断描述符表）分为IRQ（真正的硬件中断）和软件中断(又叫异常)。

HOOK的思路为，替换键盘中断处理的函数地址为自己的函数地址。这样在键盘驱动和过滤驱动之前就可以截获键盘输入。

思路确定之后，可以写代码了

首先获取到IDT，这个需要使用汇编指令sidt来获取，这个指令读取了IDTR寄存器的内容，返回结构的格式为：

typedef struct P2C_IDTR_ {

    P2C_U16 limit;        // 范围

    P2C_U32 base;        // 基地址（就是开始地址）

} P2C_IDTR, *PP2C_IDTR;

获取的方法为：

void *p2cGetIdt()

{

    P2C_IDTR idtr;

    // 一句汇编读取到IDT的位置。

    _asm sidt idtr

    return (void *)idtr.base;

}

注：IDT中断描述符表中最多有256个中断或异常向量

在保护模式下，中断描述符表的表项由8个字节组成，结构如下

typedef struct P2C_IDT_ENTRY_ {

        P2C_U16 offset_low;

        P2C_U16 selector;

        P2C_U8 reserved;

        P2C_U8 type:;

        P2C_U8 always0:;

        P2C_U8 dpl:;

        P2C_U8 present:;

        P2C_U16 offset_high;

} P2C_IDTENTRY, *PP2C_IDTENTRY;

上述结构中offset_low和offset_high构成一个32位的虚拟地址，代表中断处理跳转地址，windows下PS/2键盘的中断号一般是0x93，而中断号代表了某项在中断表中的索引，我们的目标是将该处地址替换成我们的函数地址，达到HOOK的目的。操作如下

    PP2C_IDTENTRY idt_item=(PP2C_IDTENTRY)p2cGetIdt();

    //将指针指向PS/2中断项

    idt_item += nIndex;

定义一个裸函数

__declspec(naked) p2cInterruptProc()

{

    __asm

    {

        pushad                    // 保存所有的通用寄存器

        pushfd                    // 保存标志寄存器

        call p2cUserFilter    // 调一个我们自己的函数。 这个函数将实现

                                    // 一些我们自己的功能

        popfd                    // 恢复标志寄存器

        popad                    // 恢复通用寄存器

        jmp    g_old_addr        // 跳到原来的中断服务程序

    }

}

该函数的作用只是跳到自定义的函数，执行完之后，跳回之前的地址继续执行。

准备工作完成之后，就可以进行HOOK了

VOID HOOK_IDT(ULONG nIndex,BOOLEAN b)

{

    PP2C_IDTENTRY idt_item=(PP2C_IDTENTRY)p2cGetIdt();

    //将指针指向PS/2中断项

    idt_item += nIndex;

    if(b)

    {

        //保存原来的地址

        g_old_addr = (void *)P2C_MAKELONG(idt_item->offset_low,idt_item->offset_high);

        //替换成自己的函数

        idt_item->offset_low = P2C_LOW16_OF_32(p2cInterruptProc);

        idt_item->offset_high = P2C_HIGH16_OF_32(p2cInterruptProc);

        DbgPrint("源地址为%x 替换后的地址%x\n",g_old_addr,p2cInterruptProc);

    }

    else

    {

        idt_item->offset_low = P2C_LOW16_OF_32(g_old_addr);

        idt_item->offset_high = P2C_HIGH16_OF_32(g_old_addr);

        DbgPrint("替换为原来的地址");

    }

}
nIndex=0x93
完整代码如下：
 #include <ntddk.h>

 // 这一句存在，则本程序编译为替换INT0x93的做法。如果

 // 不存在，则为IOAPIC重定位做法。

 // #define BUILD_FOR_IDT_HOOK

 // 由于这里我们必须明确一个域是多少位，所以我们预先定义几个明

 // 确知道多少位长度的变量，以避免不同环境下编译的麻烦.

 typedef unsigned char P2C_U8;

 typedef unsigned short P2C_U16;

 typedef unsigned long P2C_U32;

 #define P2C_MAKELONG(low, high) \

 ((P2C_U32)(((P2C_U16)((P2C_U32)(low) & 0xffff)) | ((P2C_U32)((P2C_U16)((P2C_U32)(high) & 0xffff))) << ))

 #define P2C_LOW16_OF_32(data) \

 ((P2C_U16)(((P2C_U32)data) & 0xffff))

 #define P2C_HIGH16_OF_32(data) \

 ((P2C_U16)(((P2C_U32)data) >> ))

 // 从sidt指令获得一个如下的结构。从这里可以得到IDT的开始地址

 #pragma pack(push,1)

 typedef struct P2C_IDTR_ {

     P2C_U16 limit;        // 范围

     P2C_U32 base;        // 基地址（就是开始地址）

 } P2C_IDTR, *PP2C_IDTR;

 #pragma pack(pop)

 // 下面这个函数用sidt指令读出一个P2C_IDTR结构，并返回IDT的地址。

 void *p2cGetIdt()

 {

     P2C_IDTR idtr;

     // 一句汇编读取到IDT的位置。

     _asm sidt idtr

     return (void *)idtr.base;

 }

 #pragma pack(push,1)

 typedef struct P2C_IDT_ENTRY_ {

         P2C_U16 offset_low;

         P2C_U16 selector;

         P2C_U8 reserved;

         P2C_U8 type:;

         P2C_U8 always0:;

         P2C_U8 dpl:;

         P2C_U8 present:;

         P2C_U16 offset_high;

 } P2C_IDTENTRY, *PP2C_IDTENTRY;

 #pragma pack(pop)

 VOID *g_old_addr=NULL;

 // 首先读端口获得按键扫描码打印出来。然后将这个扫

 // 描码写回端口，以便别的应用程序能正确接收到按键。

 // 如果不想让别的程序截获按键，可以写回一个任意的

 // 数据。

 #define OBUFFER_FULL 0x02

 #define IBUFFER_FULL 0x01

 ULONG p2cWaitForKbRead()

 {

     int i = ;

     P2C_U8 mychar;

     do

     {

         _asm in al,0x64

         _asm mov mychar,al

         KeStallExecutionProcessor();

         if(!(mychar & OBUFFER_FULL)) break;

     } while (i--);

     if(i) return TRUE;

     return FALSE;

 }

 ULONG p2cWaitForKbWrite()

 {

     int i = ;

     P2C_U8 mychar;

     do

     {

         _asm in al,0x64

         _asm mov mychar,al

         KeStallExecutionProcessor();

         if(!(mychar & IBUFFER_FULL)) break;

     } while (i--);

     if(i) return TRUE;

     return FALSE;

 }

 void p2cUserFilter()

 {

     static P2C_U8 sch_pre = ;

     P2C_U8    sch;

     DbgPrint("p2cUserFilter\n");

     p2cWaitForKbRead();

     _asm in al,0x60

     _asm mov sch,al

     KdPrint(("p2c: scan code = %2x\r\n",sch));

    //  把数据写回端口，以便让别的程序可以正确读取。

     if(sch_pre != sch)

     {

         sch_pre = sch;

         _asm mov al,0xd2

         _asm out 0x64,al

         p2cWaitForKbWrite();

         _asm mov al,sch

         _asm out 0x60,al

     }

 }

 __declspec(naked) p2cInterruptProc()

 {

     __asm

     {

         pushad                    // 保存所有的通用寄存器

         pushfd                    // 保存标志寄存器

         call p2cUserFilter    // 调一个我们自己的函数。 这个函数将实现

                                     // 一些我们自己的功能

         popfd                    // 恢复标志寄存器

         popad                    // 恢复通用寄存器

         jmp    g_old_addr        // 跳到原来的中断服务程序

     }

 }

 VOID HOOK_IDT(ULONG nIndex,BOOLEAN b)

 {

     PP2C_IDTENTRY idt_item=(PP2C_IDTENTRY)p2cGetIdt();

     //将指针指向PS/2中断项

     idt_item += nIndex;

     if(b)

     {

         //保存原来的地址

         g_old_addr = (void *)P2C_MAKELONG(idt_item->offset_low,idt_item->offset_high);

         //替换成自己的函数

         idt_item->offset_low = P2C_LOW16_OF_32(p2cInterruptProc);

         idt_item->offset_high = P2C_HIGH16_OF_32(p2cInterruptProc);

         DbgPrint("源地址为%x 替换后的地址%x\n",g_old_addr,p2cInterruptProc);

     }

     else

     {

         idt_item->offset_low = P2C_LOW16_OF_32(g_old_addr);

         idt_item->offset_high = P2C_HIGH16_OF_32(g_old_addr);

         DbgPrint("替换为原来的地址");

     }

 }

 #define  DELAY_ONE_MICROSECOND  (-10)

 #define  DELAY_ONE_MILLISECOND (DELAY_ONE_MICROSECOND*1000)

 #define  DELAY_ONE_SECOND (DELAY_ONE_MILLISECOND*1000)

 //驱动卸载函数

 VOID  IDT_Unload(IN PDRIVER_OBJECT DriverObject)

 {

     LARGE_INTEGER interval;

     HOOK_IDT(0x93,FALSE);

     KdPrint (("p2c: unloading\n"));

     // 睡眠5秒。等待所有irp处理结束

     interval.QuadPart = (* * DELAY_ONE_MILLISECOND);

     KeDelayExecutionThread(KernelMode,FALSE,&interval);

 }

 //驱动程序入口

 NTSTATUS DriverEntry(

                      IN PDRIVER_OBJECT DriverObject,

                      IN PUNICODE_STRING RegistryPath

                      )

 {

     // 卸载函数。

     HOOK_IDT(0x93,TRUE);

     DriverObject->DriverUnload = IDT_Unload;

     return STATUS_SUCCESS;

 }
 

相关文章