内核知识第12讲,SSDT表.以用户模式到系统模式的两种方式.
一丶IDT解析....我们知道.IDT表中存放着各种中断信息.比如当我们调用int 3的时候,则会调用IDT表中的第三项来进行调用. 而函数地址则是操作系统给的.
因为中断是CPU和操作系统通信的一种方式....其中微软以前用到的是 2E的区域, 也就是说. 2E的表项是微软放函数地址的地方.
二丶查看int 2E 区域. 对其反汇编....API,是我们的 KiSystemService
我们可以看一下 zw系列的API,其内部调用的就是这个.
而这个函数的作用,就是查表.取0环的函数地址. ...注意,是当前线程的SSDT表.
其中第一项,是函数地址指针数组表,这里面存储的都是函数的地址, 而11c,则是函数指针数组的大小. 11c = 284项.
2.显示SSDT函数的反汇编.