Ring3下安全获取原始SSDT地址

摘要

SSDT是系统服务描述符表的简称，在win NT内核的操作系统中，它储存着Native API相关信息，在Rootkit中HookSSDT是最常用的手法之一，常见的木马灰鸽子、PcShare或者说流氓软件雅虎助手、百度搜霸，甚至每台电脑安装的杀毒软件防火墙都离不开Hook SSDT。我在黑防三月份的杂志中讲解了如何在Ring 0驱动中用ZwQuerySystemlnformation枚举进程，如果需要检测出通过Hook SSDT隐藏的进程就需要获取原始的SSDT地址，