Windows 内核 IDT（中断描述符表）的学习总结

0x01  概述

将中断告知系统CPU ，中断的典型示例是硬件中断，例如鼠标按钮或键盘按键按下，网络数据包活动以及硬件生成的异常，例如除零或断点-分别中断号0x00和0x03。

一旦CPU被中断，它将停止执行其正在执行的操作并响应新的中断 。

CPU通过查找在中断描述符表（IDT）中找到的中断服务例程（ISR），知道如何响应以及对新接收到的中断执行哪些内核例程。

IDT是IDT描述符条目的列表，取决于具体的体系结构，其大小为8或16个字节 。

IDT的指针存储在每个物理处理器的IDTR寄存器中，换句话说，每个处理器都有自己的IDTR寄存器，指向自己的中断描述符表。

0x02  IDT的位置

我们可以通过读取IDTR寄存器来检查中断描述符表在内核中的位置：

 r idtr

如稍后所述，该命令!idt允许我们dump中断描述符表的内容，并且还确认IDT位于如下所示：fffff803536dda00`

idtr寄存器包含与！idt dump IDT时看到的相同值

0x03  Dump IDT

我们可以转储IDT并查看给定中断的中断服务程序的地址。以下是中断描述符表的摘要：

 kd> !idt
 
 Dumping IDT: fffff80091456000
 
 00: fffff8008f37e100 nt!KiDivideErrorFaultShadow
 01: fffff8008f37e180 nt!KiDebugTrapOrFaultShadow Stack = 0xFFFFF8009145A9E0
 02: fffff8008f37e200 nt!KiNmiInterruptShadow Stack = 0xFFFFF8009145A7E0
 03: fffff8008f37e280 nt!KiBreakpointTrapShadow
 ...
 90: fffff8008f37f680 i8042prt!I8042MouseInterruptService (KINTERRUPT ffffd4816353e8c0)
 a0: fffff8008f37f700 i8042prt!I8042KeyboardInterruptService (KINTERRUPT ffffd4816353ea00)

下面显示了实际的IDT转储和ISR代码执行：

· IDT表与 !idt

· 中断a0的IRS入口点位于fffff8008f37f700

- 这是在操作系统上注册键盘事件（例如按键）时首先在内核内部执行的例程

- 最终，代码在fffff8008f37f700执行完成，就会响应例程（在实际的键盘驱动程序内部）i8042prt!I8042KeyboardInterruptService

· 设置断点

i8042prt!I8042KeyboardInterruptService

· 设置断点后，在操作系统登录提示上按一个键，然后击中断点，确认

i8042prt!I8042KeyboardInterruptService 确实可以处理键盘中断

下面是一个高度简化的示意图，说明了上述所有事件的发生：

· 键盘中断0xa0发生

· 查找使用索引的IDT表（0x0aIDT地址+ 0xa0 * 0x10），并解析ISR入口点，并将代码跳转到该表

· 经过一番努力之后，代码最终被重定向到键盘驱动程序，在 i8042prt!I8042KeyboardInterruptService中处理中断

0x04  IDT条目

IDT由IDT条目_KIDTENTRY64组成，IDT条目是内核内存结构，其定义如下：

 kd> dt nt!_KIDTENTRY64
    +0x000 OffsetLow        : Uint2B
    +0x002 Selector         : Uint2B
    +0x004 IstIndex         : Pos 0, 3 Bits
    +0x004 Reserved0        : Pos 3, 5 Bits
    +0x004 Type             : Pos 8, 5 Bits
    +0x004 Dpl              : Pos 13, 2 Bits
    +0x004 Present          : Pos 15, 1 Bit
    +0x006 OffsetMiddle     : Uint2B
    +0x008 OffsetHigh       : Uint4B
    +0x00c Reserved1        : Uint4B
    +0x000 Alignment        : Uint8B

序号OffsetLow``OffsetMiddle``OffsetHigh在偏移量0x000，0x006和0x008的内核虚拟地址上，它是在代码执行将由CPU一旦特定中断被转移到发生-换句话说-这是中断服务程序的（ISR ） 入口点。

0x05  IDT的键盘中断

检查一下IDT条目中的键盘中断，该中断位于IDT表中的索引a0处：

 ！idt a0

IDT位于：fffff803536dd000

 kd > r idtr  
 idtr = fffff803536dd000

可以得到a0的位置，通过0xa0*0x10增加IDT入口（中断索引a0，0x10一个描述符条目长度为16个字节）的IDT表的地址fffff803536dd000，得到：fffff803536dda00`

 kd > dq idtr + （0 xa0 * 0 x10 ）L2     
 fffff803 ` 536 dda00 51568e00 ` 0010e700 00000000 ` fffff803

利用以上信息，可以将a0中断描述符条目与_KIDTENTRY64重叠并检查IDT条目a0的内容：

 kd> dt _kidtentry64 (idtr + (0xa0*0x10))
 ntdll!_KIDTENTRY64
    +0x000 OffsetLow        : 0xe700
    +0x002 Selector         : 0x10
    +0x004 IstIndex         : 0y000
    +0x004 Reserved0        : 0y00000 (0)
    +0x004 Type             : 0y01110 (0xe)
    +0x004 Dpl              : 0y00
    +0x004 Present          : 0y1
    +0x006 OffsetMiddle     : 0x5156
    +0x008 OffsetHigh       : 0xfffff803
    +0x00c Reserved1        : 0
    +0x000 Alignment        : 0x51568e00`0010e700

0x06 键盘中断a0的ISR

根据对键盘中断所述，IDT入口偏移的组合形成的中断服务程序（ISR）入口点的虚拟地址将在执行的代码a0中断由键盘触发：

下面显示了一旦触发a0中断，CPU将在fffff8035156e700`（ISR入口点）执行指令：

· FFFFFFFFFFFFFF A0将被压入堆栈

· 跳到fffff8035156ea40`

最后，i8042prt!I8042KeyboardInterruptService将被命中，在fffff8035156e700命中了断点，立即命中：i8042prt!I8042KeyboardInterruptService`

0x07  _KINTERRUPT

_KINTERRUPT是一种内核内存结构，其中包含有关中断的信息。文章中此结构的关键成员是位于offset 0x18的成员，它是指向ServiceRoutine例程的指针（在关联的驱动程序内部），该例程负责实际处理中断：

 dt nt!_KINTERRUPT
    +0x000 Type             : Int2B
    +0x002 Size             : Int2B
    +0x008 InterruptListEntry : _LIST_ENTRY
    +0x018 ServiceRoutine   : Ptr64     unsigned char 
    ...
    +0x0f8 Padding          : [8] UChar

作为示例，从较早的时候开始，我们就知道键盘中断的ISR位于ffffd4816353ea00，因此我们可以通过在_KINTERRUPT``ffffd4816353ea00中断处覆盖内存内容来检查该中断的结构：

 dt nt ！_KINTERRUPT ffffd4816353ea00

这使我们可以确认再次正确指向键盘驱动程序内部：ServiceRoutine``i8042prt!I8042KeyboardInterruptService

0x08  Finding _KINTERRUPT

为了手动找到给定中断_KINTERRUPT的位置，我们需要利用以下存储器位置和结构。

进程控制区域或PCR（_KPCR内核中的内存结构）存储有关给定处理器的信息：

 kd> dt _KPCR
 ntdll!_KPCR
    +0x000 NtTib            : _NT_TIB
    +0x000 GdtBase          : Ptr64 _KGDTENTRY64
    +0x008 TssBase          : Ptr64 _KTSS64
    +0x010 UserRsp          : Uint8B
    +0x018 Self             : Ptr64 _KPCR
    +0x020 CurrentPrcb      : Ptr64 _KPRCB
    +0x028 LockArray        : Ptr64 _KSPIN_LOCK_QUEUE
    +0x030 Used_Self        : Ptr64 Void
    +0x038 IdtBase          : Ptr64 _KIDTENTRY64
    +0x040 Unused           : [2] Uint8B
    +0x050 Irql             : UChar
    +0x051 SecondLevelCacheAssociativity : UChar
    +0x052 ObsoleteNumber   : UChar
    +0x053 Fill0            : UChar
    +0x054 Unused0          : [3] Uint4B
    +0x060 MajorVersion     : Uint2B
    +0x062 MinorVersion     : Uint2B
    +0x064 StallScaleFactor : Uint4B
    +0x068 Unused1          : [3] Ptr64 Void
    +0x080 KernelReserved   : [15] Uint4B
    +0x0bc SecondLevelCacheSize : Uint4B
    +0x0c0 HalReserved      : [16] Uint4B
    +0x100 Unused2          : Uint4B
    +0x108 KdVersionBlock   : Ptr64 Void
    +0x110 Unused3          : Ptr64 Void
    +0x118 PcrAlign1        : [24] Uint4B
    +0x180 Prcb             : _KPRCB

_KPCR的位置可以这样找到：

 kd> ? @$pcr
 Evaluate expression: -8781847822336 = fffff803`51148000
 
 kd> !pcr
 KPCR for Processor 0 at fffff80351148000:
     Major 1 Minor 1
  NtTib.ExceptionList: fffff803536dffb0
      NtTib.StackBase: fffff803536de000
     NtTib.StackLimit: 0000000000000000
 ...snip...

_KPCR内，偏移量处0x180有一个成员指向过程控制块内存结构_KPRCB，该结构包含有关处理器状态的信息。

尝试查找给定中断的_KINTERRUPT内存位置时，我们感兴趣的关键成员是InterruptObject，_KINTERRUPT包含指向对象列表的指针列表。 InterrupObject 位于0x2e80偏移处，如下所示：

 kd> dt _KPRCB
 ntdll!_KPRCB
    +0x000 MxCsr            : Uint4B
    +0x004 LegacyNumber     : UChar
    +0x005 ReservedMustBeZero : UChar
    ....
    +0x2e80 InterruptObject  : [256] Ptr64 Void //256 pointers max as noted earlier
    ....

有了以上知识，我们现在可以找到_KINTERRUPT键盘中断a0的位置：

 dt @$pcr nt!_KPCR Prcb.InterruptObject[a0]

下面是_KINTERRUPT找到的中断a0的手动匹配命令!idt给出的中断：

0x09  参考资料

https://nagareshwar.securityxploded.com/2014/03/20/code-injection-and-api-hooking-techniques/

https://en.wikipedia.org/wiki/Interrupt_handler

https://www.linux.com/tutorials/kernel-interrupt-overview/

https://relearex.wordpress.com/2017/12/27/hooking-series-part-ii-interrupt-descriptor-table-hooking/

https://resources.infosecinstitute.com/hooking-idt/#gref

0x10   学习总结

可以通过读取IDTR寄存器来检查中断描述符表在内核中的位置。

我们可以通过!idt转储IDT并查看给定中断的中断服务程序的地址。