アンチルートキットSSDT

Question

私はWindows 7 x64で作業しています。私はパッチガードが有効になっていることを理解しており、ntoskrnl.exeのSSDT構造体への書き込みアクセスを防止する必要があります。しかし、学習目的のために、私のドライバがZwXxxxのような関数を直接呼び出せるかどうかは疑問でした。

直接私は、カーネルベースを取得することを意味します。関数へのオフセットが0xDeadBeefであるとします。その場所へのtypedefされた関数ポインタを作成し、そのように呼び出すことはできますか？ SSDTを経由せずに？私はこれが私がユーザモードになる方法を知っています。カーネルモードの場合と同じではありません。

ありがとうございました。

Answer 1

あなたが言ったように、patchguardはSSDTの変更を防ぎます。だから、読書は大丈夫です。そして、あなたが関数のアドレスを持っているなら、それを呼び出すことができます。関数アドレスを取得する方法は、SSDTから、署名、ハードコーディングされた値などによってどのように管理されたかに違いはありません。