防rootkit SSDT

Question

我正在使用Windows 7 x64。我知道啓用了patchguard，應該防止對ntoskrnl.exe中的SSDT結構進行寫入訪問。但是出於學習目的，我想知道我的驅動程序是否可以直接調用像ZwXxxx這樣的函數。

通過直接我的意思是，獲得內核基地。可以說這個函數的偏移量是0xDeadBeef。我可以只創建一個typedef'd函數指針到那個位置並且像這樣調用它？沒有通過SSDT？我知道這是我將如何在用戶模式，不知道它是否在內核模式下的相同情況。

謝謝。

Answer 1

正如你所說的，patchguard可以防止SSDT修改。所以，閱讀是可以的。如果你有一個功能地址，你可以調用它。你是如何設法獲得函數地址的：從SSDT，通過簽名，硬編碼值或其他。