win7 x64中寻找win7 64 ssdtssdt
win7 x64下:
要得到SSDT的地址,首先找到的地址,在它的下面就有SSDT的线索
找的只需要读出MSR(特别模块寄存器)的值,便是的地址:
以下使用调试:
[]![10h],rspfffff80003ed964c65488b2425a8010000movrsp,qwordptrgs:[1A8h]fffff80003ed96556a2bpush2Bhfffff80003ed965765ff****0pushqwordptrgs:[10h]fffff80003ed965f4153pushr11fffff80003ed96616a33push33hfffff80003ed966351pushrcx
看一下KiSystemCall64的下面
3:kdufnt!KiSystemCall64Flowanalysiswasincomplete,somecodemaybemissingnt!KiSystemCall64:fffff80003ed96400f01f8swapgsfffff80003ed********movqwordptrgs:[10h],rspfffff80003ed964c65488b2425a8010000movrsp,qwordptrgs:[1A8h]fffff80003ed96556a2bpush2Bhfffff80003ed965765ff****0pushqwordptrgs:[10h]fffff80003ed965f4153pushr11fffff80003ed96616a33push33hfffff80003ed966351pushrcxfffff80003ed9664498bcamovrcx,r10fffff80003ed96674883ec08subrsp,8fffff80003ed966b55pushrbpfffff80003ed966c4881ec58010000subrsp,158hfffff80003ed9673488dac****learbp,[rsp80h]fffff80003ed967b48899dc0000000movqwordptr[rbp0C0h],rbxfffff80003ed96824889bdc8000000movqwordptr[rbp0C8h],rdifffff80003ed96894889b5d0000000movqwordptr[rbp0D0h],rsifffff80003ed9690c645ab02movbyteptr[rbp-55h],2fffff80003ed****b1c****movrbx,qwordptrgs:[188h]fffff80003ed969d0f0d8bd8010000prefetchw[rbx1D8h]fffff80003ed96a40fae5dacstmxcsrdwordptr[rbp-54h]fffff80003ed96a8650fae****0ldmxcsrdwordptrgs:[180h]fffff80003ed96b1807b0300cmpbyteptr[rbx3],0fffff80003ed96b566c****0000movwordptr[rbp80h],0fffff80003ed96be0f848c000000jent!KiSystemCall640x110(fffff80003ed9750)Branchnt!KiSystemCall640x84:fffff80003ed96c4488945b0movqwordptr[rbp-50h],raxfffff80003ed96c848894db8movqwordptr[rbp-48h],rcxfffff80003ed96cc488955c0movqwordptr[rbp-40h],rdxfffff80003ed96d0f6430303testbyteptr[rbx3],3fffff80003ed96d44c8945c8movqwordptr[rbp-38h],r8fffff80003ed96d84c894dd0movqwordptr[rbp-30h],r9fffff80003ed96dc7405jent!KiSystemCall640xa3(fffff80003ed96e3)Branchnt!KiSystemCall640x9e:fffff80003ed96dee80d140000callnt!KiSaveDebugRegisterState(fffff80003edaaf0)nt!KiSystemCall640xa3:fffff80003ed96e3f6430380testbyteptr[rbx3],80hfffff80003ed96e77442jent!KiSystemCall640xeb(fffff80003ed972b)Branchnt!KiSystemCall640xa9:fffff80003ed96e9b9020100c0movecx,0C0000102hfffff80003ed96ee0f32rdmsrfffff80003ed96f048c1e220shlrdx,20hfffff80003ed96f4480bc2orrax,rdxfffff80003ed96f7483983b8000000cmpqwordptr[rbx0B8h],raxfffff80003ed96fe742bjent!KiSystemCall640xeb(fffff80003ed972b)Branchnt!KiSystemCall640xc0:fffff80003ed****b0010000cmpqwordptr[rbx1B0h],raxfffff80003ed97077422jent!KiSystemCall640xeb(fffff80003ed972b)Branchnt!KiSystemCall640xc9:fffff80003ed9709488b93b8010000movrdx,qwordptr[rbx1B8h]fffff80003ed97100fba6b4c0bbtsdwordptr[rbx4Ch],0Bhfffff80003ed971566ff8bc4010000decwordptr[rbx1C4h]fffff80003ed971c****000movqwordptr[rdx80h],raxfffff80003ed9723fbstifffff80003ed9724e8170b0000callnt!KiUmsCallEntry(fffff80003eda240)fffff80003ed9729eb0fjmpnt!KiSystemCall640xfa(fffff80003ed973a)Branchnt!KiSystemCall640xeb:fffff80003ed972bf6430340testbyteptr[rbx3],40hfffff80003ed972f7409jent!KiSystemCall640xfa(fffff80003ed973a)Branchnt!KiSystemCall640xf1:fffff80003ed9731f00fbaab****lockbtsdwordptr[rbx100h],8nt!KiSystemCall640xfa:fffff80003ed973a488b45b0movrax,qwordptr[rbp-50h]fffff80003ed973e488b4db8movrcx,qwordptr[rbp-48h]fffff80003ed9742488b55c0movrdx,qwordptr[rbp-40h]fffff80003ed97464c8b45c8movr8,qwordptr[rbp-38h]fffff80003ed974a4c8b4dd0movr9,qwordptr[rbp-30h]fffff80003ed974e6690xchgax,axnt!KiSystemCall640x110:fffff80003ed9750fbstifffff80003ed****be0010000movqwordptr[rbx1E0h],rcxfffff80003ed97588983f8010000movdwordptr[rbx1F8h],eaxfffff80003ed975e4889a3d8010000movqwordptr[rbx1D8h],rspfffff80003ed97658bf8movedi,eaxfffff80003ed9767c1ef07shredi,7fffff80003ed976a83e720andedi,20hfffff80003ed976d25ff0f0000andeax,0FFFhnt!KiSystemServiceRepeat:fffff80003ed97724c8d15c7202300lear10,[nt!KeServiceDescriptorTable(fffff8000410b840)]fffff80003ed97794c8d1d00212300lear11,[nt!KeServiceDescriptorTableShadow(fffff8000410b880)]以下无用代码省略...
可以看到,在fffff80003ed9772处出现了[nt!KeServiceDescriptorTable]也就是SSDT地址,前3个字节是汇编指令,后4个字节储存的就是SSDT的偏移地址,为0x002320c7(00是高位,c7是低位,所以逆过来),fffff80003ed****c77便可以得到SSDT的地址([lear10,XXXXXXXX]指令的长度是7个字节,所以还要加7),
所以从KiSystemCall64开始向下500个地址内搜索4c8d15就可以找到lea r10,[nt!KeServiceDescriptorTable(fffff8000410b840)]这条指令
具体实现代码:
ULONGLONGGetSsdt(){PUCHARstartaddr(PUCHAR)__readmsr(0xC0000082);PUCHAREndaddrstartaddr0x500;PUCHARiNULL;UCHARb1,b2,b3;ULONGoffset0;ULONGLONGaddr0;for(istartaddr;iEndaddr;i){b1*i;b2*(i1);b3*(i2);if(b10x4cb20x8db30x15){memcpy(offset,i3,4);addr(ULONGLONG)offset(ULONGLONG)i7;returnaddr;}}return0;}
win10 x64可以参考https://blog.csdn.net/qq_41655422/article/details/****
推荐系统
雨林木风 winxp下载 纯净版 永久激活 winxp ghost系统 sp3 系统下载
系统大小:0MB系统类型:WinXP雨林木风在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业知名品牌,雨林木风WindowsXP其系统口碑得到许多人认可,积累了广大的用户群体,是一款稳定流畅的系统,雨林木风 winxp下载 纯净版 永久激活 winxp ghost系统 sp3 系统下载,有需要的朋友速度下载吧。
系统等级:进入下载 >萝卜家园win7纯净版 ghost系统下载 x64 联想电脑专用
系统大小:0MB系统类型:Win7萝卜家园win7纯净版是款非常纯净的win7系统,此版本优化更新了大量的驱动,帮助用户们进行舒适的使用,更加的适合家庭办公的使用,方便用户,有需要的用户们快来下载安装吧。
系统等级:进入下载 >雨林木风xp系统 xp系统纯净版 winXP ghost xp sp3 纯净版系统下载
系统大小:1.01GB系统类型:WinXP雨林木风xp系统 xp系统纯净版 winXP ghost xp sp3 纯净版系统下载,雨林木风WinXP系统技术积累雄厚深耕多年,采用了新的系统功能和硬件驱动,可以更好的发挥系统的性能,优化了系统、驱动对硬件的加速,加固了系统安全策略,运行环境安全可靠稳定。
系统等级:进入下载 >萝卜家园win10企业版 免激活密钥 激活工具 V2023 X64位系统下载
系统大小:0MB系统类型:Win10萝卜家园在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业的萝卜家园品牌,(win10企业版,win10 ghost,win10镜像),萝卜家园win10企业版 免激活密钥 激活工具 ghost镜像 X64位系统下载,其系统口碑得到许多人认可,积累了广大的用户群体,萝卜家园win10纯净版是一款稳定流畅的系统,一直以来都以用户为中心,是由萝卜家园win10团队推出的萝卜家园
系统等级:进入下载 >萝卜家园windows10游戏版 win10游戏专业版 V2023 X64位系统下载
系统大小:0MB系统类型:Win10萝卜家园windows10游戏版 win10游戏专业版 ghost X64位 系统下载,萝卜家园在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业的萝卜家园品牌,其系统口碑得到许多人认可,积累了广大的用户群体,萝卜家园win10纯净版是一款稳定流畅的系统,一直以来都以用户为中心,是由萝卜家园win10团队推出的萝卜家园win10国内镜像版,基于国内用户的习惯,做
系统等级:进入下载 >windows11下载 萝卜家园win11专业版 X64位 V2023官网下载
系统大小:0MB系统类型:Win11萝卜家园在系统方面技术积累雄厚深耕多年,windows11下载 萝卜家园win11专业版 X64位 官网正式版可以更好的发挥系统的性能,优化了系统、驱动对硬件的加速,使得软件在WINDOWS11系统中运行得更加流畅,加固了系统安全策略,WINDOWS11系统在家用办公上跑分表现都是非常优秀,完美的兼容各种硬件和软件,运行环境安全可靠稳定。
系统等级:进入下载 >
相关文章
- 有什么电脑自动关机软件好用 电脑自动关机软件下载推荐
- 微信抽奖小程序怎么弄,教你微信转盘抽奖小程序制作方法
- 收集意见建议小程序怎么弄,教你制作匿名收集意见的小程序
- 扫码助力活动怎么弄,微信公众号助力活动的制作步骤
- 海报裂变活动怎么弄,微信公众号生成海报裂变活动的方法
- 公众号推广二维码怎么弄,微信公众号推广二维码生成方法
- 公众号裂变活动制作,微信公众号怎么做裂变活动
- 登记信息二维码制作,如何实现扫码登记填报信息
- 登记表怎么弄,教你微信登记表格怎么做
- 参数二维码怎么弄,微信公众号带参数二维码怎么生成
- 报名二维码怎么弄,微信公众号报名二维码制作步骤
- 设置电脑定时关机命令如何更改 电脑定时关机命令设置方法详解
- win7怎么自动关机 win7自动关机时间设置方法
- 设置定时关机命令在哪 电脑设置定时关机命令
热门系统
推荐软件
推荐应用
推荐游戏
热门文章
常用系统
- 1【国庆特献】深度技术Windows10纯净版 Win10 GHOST镜像64位系统下载
- 2windows11旗舰版下载 深度技术64位完美版 免激活工具下载 GHOST镜像
- 3电脑公司windows7免费版官网下载 ghost x64位 v2022.05 iso镜像
- 4番茄花园win7家庭版 x64位最新版下载 ghost镜像 惠普电脑专用下载
- 5青苹果系统windows11旗舰版 win11 ghost 64位 V2021.10
- 6Windows7稳定版下载 系统之家永久免费 ghost系统 ISO镜像下载
- 7深度系统Win11企业版正式版装机用户专用 ghost系统 ISO镜像 X64位
- 8风林火山win10稳定版 x64位最新版下载 Ghost镜像 免激活工具
- 9雨林木风精简版下载 Windows7纯净版64位 ISO镜像官网下载 v2023