IDT即中斷描述表。當然系統發生中斷時（有可能是CPU中斷，也有可能是I/O中斷等）。系統會通過中斷向量查找IDT保存的ISR（中斷服務程序）來調用相關的處理例程。IDT Hook就是替換這個ISR。

也許上面的過程你不是很明白。我們具體的了解下過程。

IDT是一個有256個入口的線性表。每個入口大小為8字節。每個入口值我們稱為中斷向量（0..255）。比如 int 30。30即中斷向量。當發生int 30中斷時，系統根據30找到IDT入口，然后計算出ISR。調用之。

我們來看看相關的結構。

typedef struct
{
unsigned short LowOffset;
unsigned short selector;
unsigned char unused_lo;
unsigned char segment_type:4;?
unsigned char system_segment_flag:1;
unsigned char DPL:2;????????
unsigned char P:1;??????????
unsigned short HiOffset;
} IDTENTRY;
我首先要感嘆下C語言的強大。

unsigned char segment_type:4;???代表這個參數占用4位。

以下都是如此。

unsigned char system_segment_flag:1;
unsigned char DPL:2;????????
unsigned char P:1;????

他們一共占用了一個字節。上面的結構一種占用了8個字節。即IDT入口大小。

unsigned short LowOffset; 表示ISR地址是低字節

unsigned short HiOffset;????表示ISR地址的高字節。他們一起組成了ISR的地址。對于其他的東東我們暫時不解釋。

還有一個數據結構。

typedef struct
{
unsigned short IDTLimit;
unsigned short LowIDTbase;
unsigned short HiIDTbase;
} IDTINFO;

unsigned short LowIDTbase;
unsigned short HiIDTbase; 他們共同組成了IDT線性表的地址。

這個結構用來幫助我們獲取IDT的位置。

在C語言中我可以通過 _asm sidt idt_info 來得到IDT的地址。

下面我們來看看完整的代碼。

extern "C"
{
#include <ntddk.h>
}

#define MAX_IDT_ENTRIES 0xFF

#define NT_INT_TIMER 0x30

#define MAKELONG(a,b)((ULONG)(((USHORT)(a))|((ULONG)((USHORT)(b))) << 16))

typedef struct
{
unsigned short LowOffset;
unsigned short selector;
unsigned char unused_lo;
unsigned char segment_type:4;?
unsigned char system_segment_flag:1;
unsigned char DPL:2;????????
unsigned char P:1;??????????
unsigned short HiOffset;
} IDTENTRY;

typedef struct
{
unsigned short IDTLimit;
unsigned short LowIDTbase;
unsigned short HiIDTbase;
} IDTINFO;

#pragma pack()

ULONG Old_ISR_Pointer,OldCr0;

VOID DriverUnload(PDRIVER_OBJECT pDriverObj);
VOID My_interrupt_Proc();

?

// 驅動程序加載時調用DriverEntry例程
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObj, PUNICODE_STRING pRegistryString)
{
pDriverObj->DriverUnload = DriverUnload;
//
IDTINFO???idt_info;
IDTENTRY* idt_entry;

_asm sidt idt_info

idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);

//
Old_ISR_Pointer = MAKELONG(idt_entry[NT_INT_TIMER].LowOffset,idt_entry[NT_INT_TIMER].HiOffset);
//
_asm
{
???cli;
???//
???mov eax, cr0;
???mov OldCr0,eax;
???and eax,not 10000;
???mov cr0,eax;
}
idt_entry[NT_INT_TIMER].LowOffset = (USHORT)My_interrupt_Proc;
idt_entry[NT_INT_TIMER].HiOffset = (USHORT)((ULONG)My_interrupt_Proc >> 16);
_asm
{
???mov eax,OldCr0;
???mov cr0,eax;
???//
???sti;
}

// 請視情況返回DriverEntry例程執行結果
return STATUS_SUCCESS;
}

VOID DriverUnload(PDRIVER_OBJECT pDriverObj)
{
IDTINFO???idt_info;
IDTENTRY* idt_entry;

_asm sidt idt_info

idt_entry = (IDTENTRY*)MAKELONG(idt_info.LowIDTbase,idt_info.HiIDTbase);
//
_asm
{
???cli;
???//
???mov eax, cr0;
???mov OldCr0,eax;
???and eax,not 10000;
???mov cr0,eax;
}
idt_entry[NT_INT_TIMER].LowOffset = (USHORT)Old_ISR_Pointer;
idt_entry[NT_INT_TIMER].HiOffset = (USHORT)((ULONG)Old_ISR_Pointer >> 16);
_asm
{
???mov eax,OldCr0;
???mov cr0,eax;
???//
???sti;
}

}

VOID My_interrupt_Proc()
{
_asm
{
???jmp Old_ISR_Pointer;
}
}

總結

以上是生活随笔為你收集整理的简单的IDT HOOK介绍的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。