//设置为不可写void DisableWrite(){    __try    {        _asm        {            mov eax, cr0             or  eax, 10000h             mov cr0, eax             sti         }    }    __except(1)    {        DbgPrint("DisableWrite执行失败！");    }}// 设置为可写void EnableWrite(){    __try    {        _asm        {            cli            mov eax,cr0            and eax,not 10000h //and eax,0FFFEFFFFh            mov cr0,eax        }    }    __except(1)    {        DbgPrint("EnableWrite执行失败！");    }}

具体做法可以google下，这里就不介绍了

如何获得SSDT中函数的地址呢？

  这里主要使用了两个宏：

①获取指定服务的索引号：SYSCALL_INDEX

②获取指定服务的当前地址：SYSCALL_FUNCTION

这两个宏的具体定义如下：

//根据 ZwServiceFunction 获取 ZwServiceFunction 在 SSDT 中所对应的服务的索引号 #define SYSCALL_INDEX(ServiceFunction) (*(PULONG)((PUCHAR)ServiceFunction + 1)) //根据ZwServiceFunction 来获得服务在 SSDT 中的索引号，然后再通过该索引号来获取ntServiceFunction的地址 #define SYSCALL_FUNCTION(ServiceFunction) KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[SYSCALL_INDEX(ServiceFunction)]

SSDT Hook流程

在驱动的入口函数中(DriverEntry),对未进行SSDT Hook前的SSDT表进行了备份（用一个数组保存），备份时，一个索引号对应一个当前地址，如上图所示。

这样，在解除Hook的时候，就可以从全局数组中根据索引号获取未Hook前的服务名的当前地址，以便将原来的地址写回去，这一步很重要。

当用户选择保护某个进程的时候，就会通过DeviceIoControl发送一个IO_INSERT_PROTECT_PROCESS控制码给驱动程序，此时驱动程序会生成一个IRP:IRP_MJ_DEVICE_CONTROL,我们事先已经在驱动程序中为

IRP_MJ_DEVICE_CONTROL指定了一个派遣函数：SSDTHook_DispatchRoutine_CONTROL。在该派遣函数中：我们通过获取控制码（是保护进程还是取消保护进程），如果是要保护某个进程，则通过DeviceIoControl的第3个参数将要保护的进程的pid传递给驱动程序。然后在派遣函数SSDTHook_DispatchRoutine_CONTROL中从缓冲区中读取该pid，如果是要保护进程，则将要“保护进程”的pid添加到一个数组中，如果是要“取消保护进程”，则将要取消保护的进程PID从数组中移除。

在Hook NtTermianteProcess函数后，会执行我们自定义的函数：HookNtTerminateProcess，在HookNtTerminateProcess函数中，我们判断当前进程是否在要保护的进程数组中，如果该数组中存在该pid，则我们返回一个“权限不够”的异常，如果进程保护数组中不存在该pid，则直接调用原来 SSDT 中的 NtTerminateProcess 来结束进程。

SSDT Hook实现进程保护

// 实现 Hook 的安装，主要是在 SSDT 中用 newService 来替换掉 oldServiceNTSTATUS InstallHook(ULONG oldService, ULONG newService){    __try    {        ULONG uOldAttr = 0;                EnableWrite();    //去掉页面保护            KdPrint(("伪造NtTerminateProcess地址: %x\n",(int)newService));        //KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[SYSCALL_INDEX(oldService)] = newService;        SYSCALL_FUNCTION(oldService) = newService;//        DisableWrite();    //恢复页面保护        return STATUS_SUCCESS;    }    __except(1)    {        KdPrint(("安装Hook失败!"));    }}

//************************************// 函数名称 : HookNtTerminateProcess// 描    述 : 自定义的 NtOpenProcess，用来实现 Hook Kernel API// 日    期 : 2013/06/28// 参    数 : ProcessHandle:进程句柄 ExitStatus:// 返 回 值 : //************************************NTSTATUS HookNtTerminateProcess(__in_opt HANDLE ProcessHandle,__in NTSTATUS ExitStatus){    ULONG uPID;    NTSTATUS rtStatus;    PCHAR pStrProcName;    PEPROCESS pEProcess;    ANSI_STRING strProcName;    // 通过进程句柄来获得该进程所对应的 FileObject 对象，由于这里是进程对象，自然获得的是 EPROCESS 对象    rtStatus = ObReferenceObjectByHandle(ProcessHandle, FILE_READ_DATA, NULL, KernelMode, (PVOID*)&pEProcess, NULL);    if (!NT_SUCCESS(rtStatus))    {        return rtStatus;    }    // 保存 SSDT 中原来的 NtTerminateProcess 地址    pOldNtTerminateProcess = (NTTERMINATEPROCESS)oldSysServiceAddr[SYSCALL_INDEX(ZwTerminateProcess)];    // 通过该函数可以获取到进程名称和进程 ID，该函数在内核中实质是导出的(在 WRK 中可以看到)    // 但是 ntddk.h 中并没有到处，所以需要自己声明才能使用    uPID = (ULONG)PsGetProcessId(pEProcess);    pStrProcName = _strupr((TCHAR *)PsGetProcessImageFileName(pEProcess));//使用微软未公开的PsGetProcessImageFileName函数获取进程名    // 通过进程名来初始化一个 ASCII 字符串    RtlInitAnsiString(&strProcName, pStrProcName);    if (ValidateProcessNeedProtect(uPID) != -1)    {        // 确保调用者进程能够结束(这里主要是指 taskmgr.exe)        if (uPID != (ULONG)PsGetProcessId(PsGetCurrentProcess()))        {            // 如果该进程是所保护的的进程的话，则返回权限不够的异常即可            return STATUS_ACCESS_DENIED;        }    }    // 对于非保护的进程可以直接调用原来 SSDT 中的 NtTerminateProcess 来结束进程    rtStatus = pOldNtTerminateProcess(ProcessHandle, ExitStatus);    return rtStatus;}

Ring3与Ring0的通信