XP取SSDT表中指定索引号的函数地址

SSDT.h头文件

#ifndef _SSDT_H_
#define _SSDT_H_

// NT操作系统有多张服务表，SSDT就是其中一张
// NT操作系统使用如下结构描述一张服务表
typedef struct _KSERVICE_TABLE_DESCRIPTOR { 
  PULONG_PTR Base;  // 服务表地址
  PULONG Count;     // 服务表中服务被调用次数的计数器
  ULONG Limit;    // 服务个数，即有多少个函数了
  PUCHAR Number;    // 服务参数表
} KSERVICE_TABLE_DESCRIPTOR, *PKSERVICE_TABLE_DESCRIPTOR; 

// 流传NT使用下面的代码在模块ntoskrnl.exe中导出KeServiceDescriptorTable
//#define NUMBER_SERVICE_TABLES 4 
//extern KSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable[NUMBER_SERVICE_TABLES]; 
//extern KSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTableShadow[NUMBER_SERVICE_TABLES];

// 根据流传，我们直接声明KeServiceDescriptorTable，就可使用它了
__declspec(dllimport) extern "C" PKSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable;

class CSSDT
{
public:
  CSSDT(void);
  ~CSSDT(void);

  void Show_SSDT(void); // 查看SSDT表
  ULONG_PTR GetFunctionAddr(int iFunIndex);   // 取SSDT表中指定索引号的函数地址
};

#endif  // _SSDT_H_

-----------------------------------------

SSDT.cpp文件内容：

#include "stdafx.h"
#include "SSDT.h"


CSSDT::CSSDT(void)
{

}


CSSDT::~CSSDT(void)
{

}


/**
@Name:    Show_SSDT
@Brief    查看SSDT表   
@Param:   void
@Return:  void
*/
void CSSDT::Show_SSDT(void)
{
  KSERVICE_TABLE_DESCRIPTOR ssdt = KeServiceDescriptorTable[0];

  KdPrint(("[Show_SSDT] KeServiceDescriptorTable=0x%X \n", KeServiceDescriptorTable));

  ssdt.Limit = ssdt.Limit > 0x11C ? 0x11C : ssdt.Limit;
  for (int i = 0; i < ssdt.Limit; i++)
  {
    KdPrint(("[Show_SSDT %d] 0x%X \n", i, ssdt.Base[i]));
  }
}


/**
@Name:    GetFunctionAddr
@Brief    取SSDT表中指定索引号的函数地址   
@Param:   int iFunIndex
@Return:  成功返回指定索引号的函数地址，失败返回NULL
*/
ULONG_PTR CSSDT::GetFunctionAddr(int iFunIndex)
{
  KSERVICE_TABLE_DESCRIPTOR ssdt = KeServiceDescriptorTable[0];
  if (iFunIndex > ssdt.Limit)
  {
    KdPrint(("[GetFunctionAddr] failed: 索引超出范围  iFunIndex=%d > %d \n", iFunIndex, ssdt.Limit));
    return NULL;
  }
  return ssdt.Base[iFunIndex];
}

---------------------------------------------------------------

// 驱动入口
  #pragma INITCODE
  NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING  RegistryPath)
  {
    DriverObject->DriverUnload = DriverUnload;
    KdPrint(("hello DriverEntry \r\n"));

    CSSDT objSSDT;
    //objSSDT.Show_SSDT();

    KdPrint(("ssdt 0号函数地址：0x%X", objSSDT.GetFunctionAddr(0)));
    KdPrint(("ssdt 122号函数地址：0x%X", objSSDT.GetFunctionAddr(122)));
    KdPrint(("ssdt 123号函数地址：0x%X", objSSDT.GetFunctionAddr(123)));

    return STATUS_SUCCESS;
  }

-------------------------------------

效果截图：