IDT Hook

IDT Hook是一個非常簡單的東東。這裡我們不討論IDTR，中斷處理過程等東西。

以後有時間補上（假如我有時間的話）。

IDT即中斷描述表。當然系統發生中斷時（有可能是CPU中斷，也有可能是I/O中斷等）。

系統會通過中斷向量查找IDT保存的ISR（中斷服務程序）來調用相關的處理例程。

IDT Hook就是替換這個ISR。

也許上面的過程你不是很明白。我們具體的瞭解下過程。

IDT是一個有256個入口的線性表。每個入口大小為8字節。

每個入口值我們稱為中斷向量（0..255）。

比如 int 30。30即中斷向量。當發生int 30中斷時，系統根據30找到IDT入口，

然後計算出ISR。調用之。

我們來看看相關的結構。

typedef struct

{

unsigned short LowOffset;

unsigned short selector;

unsigned char unused_lo;

unsigned char segment_type:4;  

unsigned char system_segment_flag:1;

unsigned char DPL:2;         

unsigned char P:1;           

unsigned short HiOffset;

} IDTENTRY;

我首先要感嘆下C語言的強大。

unsigned char segment_type:4;   代表這個參數佔用4位。

以下都是如此。

unsigned char system_segment_flag:1;

unsigned char DPL:2;         

unsigned char P:1;     

他們一共佔用了一個字節。上面的結構一種佔用了8個字節。即IDT入口大小。

unsigned short LowOffset; 表示ISR地址是低字節

unsigned short HiOffset;    表示ISR地址的高字節。他們一起組成了ISR的地址。

對於其他的東東我們暫時不解釋。

還有一個數據結構。

typedef struct

{

unsigned short IDTLimit;

unsigned short LowIDTbase;

unsigned short HiIDTbase;

} IDTINFO;

unsigned short LowIDTbase;

unsigned short HiIDTbase; 他們共同組成了IDT線性表的地址。

這個結構用來幫助我們獲取IDT的位置。

在C語言中我可以通過 _asm sidt idt_info 來得到IDT的地址。

下面我們來看看完整的代碼。

extern "C"

{

#include <ntddk.h>

}

#define MAX_IDT_ENTRIES 0xFF

#define NT_INT_TIMER 0x30

#define MAKELONG(a,b)((ULONG)(((USHORT)(a))|((ULONG)((USHORT)(b))) << 16))

typedef struct

{

unsigned short LowOffset;

unsigned short selector;

unsigned char unused_lo;

unsigned char segment_type:4;  

unsigned char system_segment_flag:1;

unsigned char DPL:2;         

unsigned char P:1;           

unsigned short HiOffset;

} IDTENTRY;

typedef struct

{

unsigned short IDTLimit;

unsigned short LowIDTbase;

unsigned short HiIDTbase;

} IDTINFO;

#pragma pack()

ULONG Old_ISR_Pointer,OldCr0;

VOID DriverUnload(PDRIVER_OBJECT pDriverObj);

VOID My_interrupt_Proc();

// 驅動程序加載時調用DriverEntry例程

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObj, PUNICODE_STRING pRegistryString)

{

pDriverObj->DriverUnload = DriverUnload;

//

IDTINFO   idt_info;

IDTENTRY* idt_entry;



_asm sidt idt_info

idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);



//

Old_ISR_Pointer = MAKELONG(idt_entry[NT_INT_TIMER].LowOffset,idt_entry[NT_INT_TIMER].HiOffset);

//

_asm

{

   cli;

   //

   mov eax, cr0;

   mov OldCr0,eax;

   and eax,not 10000;

   mov cr0,eax;

}

idt_entry[NT_INT_TIMER].LowOffset = (USHORT)My_interrupt_Proc;

idt_entry[NT_INT_TIMER].HiOffset = (USHORT)((ULONG)My_interrupt_Proc >> 16);

_asm

{

   mov eax,OldCr0;

   mov cr0,eax;

   //

   sti;

}

// 請視情況返回DriverEntry例程執行結果

return STATUS_SUCCESS;

}

VOID DriverUnload(PDRIVER_OBJECT pDriverObj)

{

IDTINFO   idt_info;

IDTENTRY* idt_entry;



_asm sidt idt_info

idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);

//

_asm

{

   cli;

   //

   mov eax, cr0;

   mov OldCr0,eax;

   and eax,not 10000;

   mov cr0,eax;

}

idt_entry[NT_INT_TIMER].LowOffset = (USHORT)Old_ISR_Pointer;

idt_entry[NT_INT_TIMER].HiOffset = (USHORT)((ULONG)Old_ISR_Pointer >> 16);

_asm

{

   mov eax,OldCr0;

   mov cr0,eax;

   //

   sti;

}

}

VOID My_interrupt_Proc()

{

_asm

{

   jmp Old_ISR_Pointer;

}

}