Windows内核-中断门

kd> dds 94e63c9c
94e63c9c  004011a9          <== eip
94e63ca0  0000001b          <== cs
94e63ca4  00000246          <== eflags
94e63ca8  0012fe3c          <== esp
94e63cac  00000023          <== ss
94e63cb0  00000000
94e63cb4  00000000
94e63cb8  00000000
94e63cbc  00000000
94e63cc0  0000027f

// 10_11_InterruptGate(中断门).cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。
//

#include <iostream>
#include <Windows.h>

#pragma pack(1)
typedef struct _GDTINFO
{
	short limit;
	ULONG table;
}GDTINFO;
#pragma pack(0)

void __declspec(naked) test()
{
	__asm
	{
		int 3;

		iretd;
	}
}

int main()
{
	printf("%p\r\n", test);

	//char bufgdt[6];
	//char bufidt[6];
	GDTINFO gdts;
	GDTINFO idts;

	__asm
	{
		/*sgdt bufgdt;
		sidt bufidt;*/
		sgdt gdts;          // 获取gdtr
		sidt idts;          // 获取idtr
	}

	system("pause");

	__asm
	{
		push fs;
		int 32;
		pop fs;
	}

	system("pause");
	return 0;
}

kd> dq 80b98800
ReadVirtual: 80b98800 not properly sign extended
80b98800  00000000`00000000 00cf9b00`0000ffff
80b98810  00cf9300`0000ffff 00cffb00`0000ffff
80b98820  00cff300`0000ffff 80008bb9`8c0020ab
80b98830  804093b9`b0004fff 0040f300`00000fff
80b98840  0000f200`0400ffff 00000000`00000000
80b98850  800089b9`ad200067 800089b9`acb00067
80b98860  00000000`00000000 00000000`00000000
80b98870  800092b9`880003ff 00000000`00000000
kd> r idtr
idtr=80b98000
kd> dq 80b98000
ReadVirtual: 80b98000 not properly sign extended
80b98000  83e58e00`00085210 83e58e00`0008557c
80b98010  00008500`00580000 83e5ee00`00085fc0
80b98020  83e5ee00`00086338 83e58e00`00086688
80b98030  83e58e00`000869ec 83e58e00`000876f8
80b98040  00008500`00500000 83e58e00`00087d3c
80b98050  83e58e00`00088050 83e58e00`00088380
80b98060  83e58e00`000887f0 83e58e00`00088cfc
80b98070  83e58e00`000899b8 83e58e00`00089e40

// InterruptGate_retf.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。
//

#include <iostream>
#include <windows.h>

// 中断门使用retf返回
// 0040ee00`00081080 

void __declspec(naked) test()
{
	__asm
	{
		sti;				// 解除阻塞, 并且使eflags.IF = 1
		// int 3
		retf 4;				// 使用 retf 4 是为了确保在中断处理程序返回时，除了恢复 CS:EIP 外，还能从栈中弹出这个附加的 4 字节（通常是错误代码），确保栈平衡
	}
}

int main()
{
	printf("%p\r\n", test);

	__asm
	{
		// push 0x12345678;
		int 32;

		push 0x3b;
		pop fs;
	}

	system("pause");
	return 0;
}

// 09_24_int3_hook.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。
//

// BASE：401080 - 83e7dfc0(int 3) = 7C58 30C0
// 段描述：00cf9b00`0000ffff
// 修改GDTR：eq 80b98848 7Ccf9b58`30c0ffff
// 修改IDTR：eq 80b98018 83e7ee00`0048dfc0

#include <iostream>
#include <Windows.h>

typedef int(__CRTDECL *DbgPrintProc)(_In_z_ _Printf_format_string_ char const* const _Format, ...);
DbgPrintProc DbgPrint = NULL;

char * xxxstr = NULL;

void __declspec(naked) test()
{
	__asm
	{
		//push 0x8;
		//push haha;
		sub esp, 8;
		lea eax, haha;
		mov [esp], eax;
		mov [esp+4], 0x8;
		jmp fword ptr [esp];
	haha:
		add esp, 8;
		push fs;
		mov ax, 0x30;
		mov fs, ax;
		// 业务逻辑
		mov eax, [xxxstr];
		push eax;
		call DbgPrint;
		add esp, 4;

		pop fs;
		// 跳回int3
		mov dword ptr ss:[esp-4], 0x83e44fc0;
		jmp dword ptr ss:[esp-4];
	}
}

int main()
{
	printf("%p\r\n", test);
	xxxstr = (char*)malloc(strlen("xxxx__main__xxxx\r\n") + 1);
	memcpy(xxxstr, "xxxx__main__xxxx\r\n", strlen("xxxx__main__xxxx\r\n"));
	xxxstr[strlen("xxxx__main__xxxx\r\n")] = '\0';
	DbgPrint = (DbgPrintProc)0x83e11c60;
	system("pause");

	__asm
	{
		int 3;
	}
	system("pause");
	return 0;
}