SYSCALL_INDEX MACRO lpZwproc:REQ
mov eax, lpZwproc

mov eax,[eax+2] ;jmp dword ptr ds:[0F7B24390h]
mov eax,[eax] ; ZwTerminateProcess Base
mov eax,[eax+1] ;NtTerminateProcess Index
EXITM <eax>
endm

;***************************************************************************
; 一个简单的HOOK SSDT 框架 by nohacks WebHome: 274K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3S2A6i4K6u0W2j5X3q4A6k6s2g2Q4x3X3g2U0L8$3#2Q4x3V1k6F1L8$3S2S2j5$3E0K6
;***************************************************************************

.386
.model flat, stdcall
option casemap:none

include w2k\ntstatus.inc
include w2k\ntddk.inc
include w2k\ntoskrnl.inc
include w2k\w2kundoc.inc

includelib \RadASM\masm32\lib\w2k\ntoskrnl.lib

include \RadASM\masm32\Macros\Strings.mac



;******************************************************************************

; 根据给出的服务对应的Zw函数返回服务号，例如：SYSCALL_INDEX(ZwTerminateProcess)

;******************************************************************************

SYSCALL_INDEX MACRO lpZwproc:REQ
mov eax, lpZwproc

mov eax,[eax+2] ;jmp dword ptr ds:[0F7B24390h]
mov eax,[eax] ; ZwTerminateProcess Base
mov eax,[eax+1] ;NtTerminateProcess Index
EXITM <eax>
endm



.data ?



OldProc dd ? ;用来保存原来的服务地址


.code


;***************************************************************************
; 根据给出的服务序号和替代服务地址修改ssdt表，返回值为原服务地址
;***************************************************************************
EditSSDT proc uses ecx dwIndex:dword,lpNowProc:dword


mov ecx, dwIndex ;服务号
mov eax, KeServiceDescriptorTable ;KSDT ,ntoskrnel SYSTEM_SERVICE_TABLE

mov eax,[eax] ; KSDT的指针

.if ecx>[eax+8] ;判断服务序号是否超出服务总数

mov eax,FALSE
ret

.endif

mov eax,[eax] ;SSDT的指针

pop [eax+ecx*4] ;保存原来的ServerBase


lea ecx,[eax+ecx*4] ;取序号地址 也就是 mov ecx,eax+ecx*4

push ecx ;保护ecx， MmIsAddressValid函数会修改ECX的值
invoke MmIsAddressValid,[ecx] ;检查地址是否有效
pop ecx

.if al== FALSE

jmp retun


.endif

;去掉写保护
push eax
cli
mov eax, cr0
and eax, not 10000h
mov cr0, eax
pop eax


;修改 SSDT
push lpNowProc
pop [ecx]


;恢复写保护
push eax
mov eax, cr0
or eax, 10000h
mov cr0, eax
sti
pop eax


retun:

pop eax ;原来的ServerBase

ret


EditSSDT endp

[培训]科锐逆向工程师培训第53期2025年7月8日开班！