【原创】x64，R3下读取SSDT和Shadow SSDT，无驱动

ANormalUser

前言：

• 众所周知，SSDT全称System Service Descriptor Table，即系统服务描述符表，它包括服务函数的个数，Ring0函数的基地址等数据。而Shadow SSDT和SSDT类似，不过保存的是GUI相关的函数信息。
• 很多人认为SSDT和Shadow SSDT只能通过驱动获取，其实不然，R3也可以导出这两个表上的函数信息。

程序使用到的模块：

• x64_远程hook,x64_veh硬断hook 模块源码更新V2.6:2021/10/3（进行了部分精简）

正文：

• 效果图片：
• 导出SSDT函数地址（左为我的程序，右为Windows Kernel Explorer Master通过驱动获取的数据）：
• 导出Shadow SSDT函数地址（左为我的程序，右为Windows Kernel Explorer Master通过驱动获取的数据）：
• 怎么实现？
• 如果你仔细看win32k.sys导出的函数的话，你会发现W32pServiceLimit和W32pServiceTable居然是直接导出的：
• 然后直接将win32k.sys加载入内存，便可直接读出Shadow SSDT
• SSDT略微麻烦，x64的ntoskrnl.exe不直接导出KeServiceDescriptorTable，需要自行寻址。
• 我用的方法是寻找KiInitializeKernel这个函数，然后便可直接找到KiServiceTable的地址（在win10和win11，x64环境测试成功，其他环境请自行测试，必须为x64系统才可使用！），接着便可直接读出SSDT
• 源码自行理解

下载：

R3 SSDT.zip (162.33 KB, 下载次数: 318)

2022-3-26 13:56 上传

点击文件名下载附件

木木的树

感谢分享，很给力！~

全坛最帅

qqmqqg

666666666666666666666666666

ASDFG201302

感谢分享，很给力！~

dj999

666666666666666

jable

进来学习一下。。。。。

数码肥宅

支持开源，感谢分享！

红色恋曲

win7 x64实测获取ssdt时闪退，获取shadowssdt时显示“读取W32pServiceLimit地址失败”

红色恋曲

6666666666666666666666666666