Ring0下恢复SSDT Shadow  

作　　者：小伟的小伟 

出　　处：《黑客防线》2008年第10期46-50,共5页

摘　　要：与很多读者都知道的SSDT类似，系统中还存在着名为”SSDT Shad0w”的另外一张系统服务表。SSDTShadow里面保存的指针指向的函数与GDI有关。用户态中的GD132．dll和User32．dll中的函数通过中断进入内核态，分发器{KiFastCallEntry／KiSystemService）根据服务ID调用相关的内核态函数．这些函数位于win32k．sys。许多Anti—Virus、Anti—Rootkit、网游等软件的附属驱动也通过修改SSDTShadow进行自我保护。例如某些网游挂接了按键相关的函数（NtUserSendInPut等）来防止模拟按键，Anti—ViruS通过挂接某些窗口相关的函数（NtUserPOStMess8ge等）来防止被关闭。因此，

关 键 词：ROOTKIT 态函数 VIRUS VIRUS 自我保护 服务表 内核态 dll 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术] O413.1[自动化与计算机技术—计算机科学与技术]