SSDT

簡介

SSDT到底是什麼呢？打一個比方，SSDT相當於系統內部API的指向標，作用就是告訴系統，需要調用的API在什麼地方。

：

引用:

typedef struct _SYSTEM_SERVICE_TABLE

{

PVOID ServiceTableBase; //這個指向系統服務函式地址表

PULONG ServiceCounterTableBase;

ULONG NumberOfService; //服務函式的個數

ULONG ParamTableBase;

}SYSTEM_SERVICE_TABLE,*PSYSTEM_SERVICE_TABLE;

typedef struct _SERVICE_DESCRIPTOR_TABLE

{

SYSTEM_SERVICE_TABLE ntoskrnel; //ntoskrnl.exe的服務函式

SYSTEM_SERVICE_TABLE win32k; //win32k.sys的服務函式,(gdi.dll/user.dll的核心支持)

SYSTEM_SERVICE_TABLE NotUsed1;

SYSTEM_SERVICE_TABLE NotUsed2;

}SYSTEM_DESCRIPTOR_TABLE,*PSYSTEM_DESCRIPTOR_TABLE;

實際上核心中存在兩個系統服務描述符表，一個是KeServiceDescriptorTable（由ntoskrnl.exe導出），一個是KeServieDescriptorTableShadow（沒有導出）。

從上述結構中，我們可以看出，KeServieDescriptorTableShadow不但包含了ntoskrnel項，而且還包含了win32k項，而KeServiceDescriptorTable僅僅包含一個ntoskrnel項。

我們用WinDbg看看，到底這個KeServiceDescriptorTable是什麼東西。

引用:

lkd> dd KeServiceDescriptorTable

80553380 81f61008 00000000 0000013d 81e62358

80553390 00000000 00000000 00000000 00000000