IDT即中斷描述表。當(dāng)然系統(tǒng)發(fā)生中斷時(shí)（有可能是CPU中斷，也有可能是I/O中斷等）。系統(tǒng)會(huì)通過(guò)中斷向量查找IDT保存的ISR（中斷服務(wù)程序）來(lái)調(diào)用相關(guān)的處理例程。IDT Hook就是替換這個(gè)ISR。

也許上面的過(guò)程你不是很明白。我們具體的了解下過(guò)程。

IDT是一個(gè)有256個(gè)入口的線性表。每個(gè)入口大小為8字節(jié)。每個(gè)入口值我們稱(chēng)為中斷向量（0..255）。比如 int 30。30即中斷向量。當(dāng)發(fā)生int 30中斷時(shí)，系統(tǒng)根據(jù)30找到IDT入口，然后計(jì)算出ISR。調(diào)用之。

我們來(lái)看看相關(guān)的結(jié)構(gòu)。

typedef struct
{
unsigned short LowOffset;
unsigned short selector;
unsigned char unused_lo;
unsigned char segment_type:4;?
unsigned char system_segment_flag:1;
unsigned char DPL:2;????????
unsigned char P:1;??????????
unsigned short HiOffset;
} IDTENTRY;
我首先要感嘆下C語(yǔ)言的強(qiáng)大。

unsigned char segment_type:4;???代表這個(gè)參數(shù)占用4位。

以下都是如此。

unsigned char system_segment_flag:1;
unsigned char DPL:2;????????
unsigned char P:1;????

他們一共占用了一個(gè)字節(jié)。上面的結(jié)構(gòu)一種占用了8個(gè)字節(jié)。即IDT入口大小。

unsigned short LowOffset; 表示ISR地址是低字節(jié)

unsigned short HiOffset;????表示ISR地址的高字節(jié)。他們一起組成了ISR的地址。對(duì)于其他的東東我們暫時(shí)不解釋。

還有一個(gè)數(shù)據(jù)結(jié)構(gòu)。

typedef struct
{
unsigned short IDTLimit;
unsigned short LowIDTbase;
unsigned short HiIDTbase;
} IDTINFO;

unsigned short LowIDTbase;
unsigned short HiIDTbase; 他們共同組成了IDT線性表的地址。

這個(gè)結(jié)構(gòu)用來(lái)幫助我們獲取IDT的位置。

在C語(yǔ)言中我可以通過(guò) _asm sidt idt_info 來(lái)得到IDT的地址。

下面我們來(lái)看看完整的代碼。

extern "C"
{
#include <ntddk.h>
}

#define MAX_IDT_ENTRIES 0xFF

#define NT_INT_TIMER 0x30

#define MAKELONG(a,b)((ULONG)(((USHORT)(a))|((ULONG)((USHORT)(b))) << 16))

typedef struct
{
unsigned short LowOffset;
unsigned short selector;
unsigned char unused_lo;
unsigned char segment_type:4;?
unsigned char system_segment_flag:1;
unsigned char DPL:2;????????
unsigned char P:1;??????????
unsigned short HiOffset;
} IDTENTRY;

typedef struct
{
unsigned short IDTLimit;
unsigned short LowIDTbase;
unsigned short HiIDTbase;
} IDTINFO;

#pragma pack()

ULONG Old_ISR_Pointer,OldCr0;

VOID DriverUnload(PDRIVER_OBJECT pDriverObj);
VOID My_interrupt_Proc();

?

// 驅(qū)動(dòng)程序加載時(shí)調(diào)用DriverEntry例程
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObj, PUNICODE_STRING pRegistryString)
{
pDriverObj->DriverUnload = DriverUnload;
//
IDTINFO???idt_info;
IDTENTRY* idt_entry;

_asm sidt idt_info

idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);

//
Old_ISR_Pointer = MAKELONG(idt_entry[NT_INT_TIMER].LowOffset,idt_entry[NT_INT_TIMER].HiOffset);
//
_asm
{
???cli;
???//
???mov eax, cr0;
???mov OldCr0,eax;
???and eax,not 10000;
???mov cr0,eax;
}
idt_entry[NT_INT_TIMER].LowOffset = (USHORT)My_interrupt_Proc;
idt_entry[NT_INT_TIMER].HiOffset = (USHORT)((ULONG)My_interrupt_Proc >> 16);
_asm
{
???mov eax,OldCr0;
???mov cr0,eax;
???//
???sti;
}

// 請(qǐng)視情況返回DriverEntry例程執(zhí)行結(jié)果
return STATUS_SUCCESS;
}

VOID DriverUnload(PDRIVER_OBJECT pDriverObj)
{
IDTINFO???idt_info;
IDTENTRY* idt_entry;

_asm sidt idt_info

idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);
//
_asm
{
???cli;
???//
???mov eax, cr0;
???mov OldCr0,eax;
???and eax,not 10000;
???mov cr0,eax;
}
idt_entry[NT_INT_TIMER].LowOffset = (USHORT)Old_ISR_Pointer;
idt_entry[NT_INT_TIMER].HiOffset = (USHORT)((ULONG)Old_ISR_Pointer >> 16);
_asm
{
???mov eax,OldCr0;
???mov cr0,eax;
???//
???sti;
}

}

VOID My_interrupt_Proc()
{
_asm
{
???jmp Old_ISR_Pointer;
}
}

總結(jié)

以上是生活随笔為你收集整理的简单的IDT HOOK介绍的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。