Номера системных функций в таблице сервисных дескрипторов (SDT) Windows

Операционные системы на основе ядра NT (2000, XP, 2003, Vista, 7) используют два режима привилегий процессора - режим ядра (Kernel Mode) и пользовательский режим (User Mode). В режиме ядра есть доступ к вводу-выводу через порты, всей памяти, к привилегированным командам. Драйверы, осуществляющие прямое управление устройствами исполняются в режиме ядра. Из пользовательского режима обращение к функциям ядра и драйверов возможно только через специальные шлюзы, предусмотренные разработчиками.

Ядро содержит функции Native API, которые могут быть вызваны из пользовательского режима. Программа пользовательского режима вызывает какую-либо функцию, а та, используя шлюз, передает управление ядру. Ядро получает параметры функции и выполняет код, результаты исполнения передаются в пользовательский режим.

Например, стандартная WinAPI функция CreateFile вызывает недокументированную функцию ZwCreateFile из ntdll.dll. Эта функция вызывает одноимённый сервис ядра через специальный шлюз.

Почти все функции, содержащиеся в ntdll.dll и есть функции ядра, а одноимённые функции, доступные в пользовательском режиме - это заглушки, передающие управление функциям ядра через шлюзы. Функции ntdll.dll называют NT Native API.

При вызове Native API функции из ntdll.dll в регистр eax записывается номер системной функции ядра. Затем вызывается прерывание 2Eh (в Windows XP - команда sysenter) и происходит переход текущего потока в режим ядра. Ядро содержит обработчик прерываний, в том числе и для прерывания 2Eh. Обработчиком является функция KiSystemService. Эта функция копирует передаваемые системному сервису параметры в память ядра, и производит вызов NativeAPI функции ядра согласно содержимому ServiceDescriptorTable. Эта таблица находится в памяти ядра, и представляет собой структуру, содержащую 4 таблицы системных сервисов (SST). Первая из этих таблиц описывает сервисы ядра (ntoskrnl.exe), вторая - графической подсистемы (win32k.sys), остальные две зарезервированы на будущее и в данный момент не используются.

ServiceDescriptorTable (SDT) содержит таблицы с указателями на функции. Функция пользовательского режима при вызове записывает индекс элемента в этой таблице (это и есть номер функции в SDT).

typedef struct _SYSTEM_SERVICE_TABLE
{
    PVOID*  ServiceTable; // Адреса функций
    ULONG*  CounterTable;   // Счетчик вызовов
    ULONG   ServiceLimit;   // Количество сервисов
    UCHAR*  ArgumentTable;  // Количество аргументов функций
} SYSTEM_SERVICE_TABLE, *PSYSTEM_SERVICE_TABLE;
typedef struct _SERVICE_DESCRIPTOR_TABLE
{
   SYSTEM_SERVICE_TABLE ntoskrnl;  //SST для ntoskrnl.exe
   SYSTEM_SERVICE_TABLE win32k;    //SST для win32k.sys
   SYSTEM_SERVICE_TABLE Reserved1;
   SYSTEM_SERVICE_TABLE Reserved2;
} SERVICE_DESCRIPTOR_TABLE, *PSERVICE_DESCRIPTOR_TABLE;

Например, чтобы перехватить Native API функцию в режиме ядра, можно просто заменить её адрес в SDT. Для того чтобы перехватить именно нужную функцию, нужно знать индексы элементов в таблице, то есть какой функции какой номер соответствует. Номер одной и той же функции в SDT разных операционных систем (Windows 2000, Windows XP) обычно различается.

Средства проактивной защиты и некоторые антивирусы используют перехват функций и контроль передаваемых параметров. Такой перехват системных функций значительно снижает быстродействие системы, так как при каждом системном вызове (а они происходят довольно часто), выполняется дополнительный код перехватчика.

Например, код функции ZwCreateFile (и NtCreateFile, что в пользовательском режиме то же самое) в Windows XP выглядит следующим образом:

; __stdcall ZwCreateFile(x, x, x, x, x, x, x, x, x, x, x)
public _ZwCreateFile@44
_ZwCreateFile@44 proc near
mov     eax, 25h    ; Это номер в SDT
mov     edx, 7FFE0300h  ; Это адрес шлюза (KiFastSystemCall)
call    dword ptr [edx] ; Вызов шлюза. Он получит
                        ; адрес параметров и вызовет SYSENTER
retn    2Ch
_ZwCreateFile@44 endp

В Windows 2000:

public ZwCreateFile
ZwCreateFile proc near
arg_0= dword ptr  4
mov     eax, 20h        ; Это номер в SDT
lea     edx, [esp+arg_0]; В edx записывается адрес параметров
int     2Eh             ; Вызывается шлюз
retn    2Ch
ZwCreateFile endp

Если вызывать Native API функцию подобным образом, можно обойти любой перехват функций в пользовательском режиме.

Для получения номеров функций в SDT системы Fur разработал утилиту sdt.exe, на вход которой следует подать ntdll.dll файлы от разных версий Microsoft Windows. Программа построит таблицу с номерами функций в SDT указанных систем.

Программы

Консольная утилита, выводит таблицу с номерами системных функций в SDT на основе ntdll.dll файлов от разных ОС (Windows 2000/XP/2003/Vista). Поддерживаются только x86-релизы файлов ntdll.dll
Архив sdt.rar

Доступен также исходный код программы, написанный на Си для компилятора от Microsoft (можно использовать Platform SDK от Visual Studio 6 и выше): sdttest.c

Использование:

sdt [/hexnumbers] [/win2000:path_to_ntdll]
  [/winxp:path_to_ntdll] [/win2003:path_to_ntdll] [/winvista:path_to_ntdll]
где path_to_ntdll - полный или относительный путь к ntdll.dll файлу
соответствующей операционной системы. Можно указывать не все системы,
/hex - указывает, что при распечатке таблицы следует выводить
номера функций в шестнадцатиричном формате
Пример использования:
  sdt /winxp:C:\Windows\System32\ntdll.dll
    /win2000:C:\win2000files\ntdll.dll >table.txt
  При таком запуске программа исследует файлы
  C:\Windows\System32\ntdll.dll и
  C:\win2000files\ntdll.dll
  и распечатает таблицу в файл table.txt
  В таблице будут сведения, касающиеся только Windows 2000 и Windows XP

Ссылки

Оригинал статьи на сайте Fur

Таблица с номерами функций в SDT разных ОС

Операционная система Windows 2000 содержит меньше функций ядра, чем другие, но поддерживает управление объектами Channel, поддержка которых убрана в следующих версиях ОС. Набор функций ядра в Windows XP практически совпадает с Windows Server 2003. Windows Vista содержит много новых функций, которых не было в предыдущих ОС.