// 保存现场
pushfd
pushad </p>
<p>// 调用 KiFastCallEntry_Filter 函数，实现过滤
push edi // 本次系统调用相应的SysCall Table的地址（SSDT或SSDTShadow的地址）
push ebx // 本次系统调用在SysCall Table中相应的内核函数地址
push eax // 本次系统调用相应的内核函数在SysCall Table中的功能号
call KiFastCallEntry_Filter // 调用KiFastCallEntry_Filter，实现过滤
mov [esp+10h], eax // 更改本次调用相应的内核函数地址！</p>
<p>// 恢复现场
popad
popfd</p>
<p>// 运行 KiFastCallEntry 函数中被替换掉的指令，并跳回原函数
mov edi,esp
cmp esi, g_7fff0000
push g_JmpBack
ret
这里须要注意的是 call KiFastCallEntry_Filter 之后的 mov [esp+10h], eax。之前保存现场时的指令pushad会导致寄存器EAX, ECX, EDX, EBX, ESP, EBP, ESI, EDI依次入栈，并通过后面的popad指令恢复这些寄存器的值。此处的mov [esp+10h], eax实际上是用 KiFastCallEntry_Filter 函数的返回值来改写堆栈中保存的ebx的值，即改写本次系统调用相应的内核函数地址。
KiFastCallEntry_Filter 是真正实现过滤的函数，该函数的參数和返回值上文已经说明了，其详细实现分析整理后，C语言描写叙述例如以下
代码:
复制代码代码如下:
ULONG __stdcall KiFastCallEntry_Filter(ULONG ulSyscallId, ULONG ulSyscallAddr, PULONG pulSyscallTable)
{
PFAKE_SYSCALL pFakeSysCall = NULL;</p>
<p> if ( ulSyscallId >= 0x400 )
return ulSyscallAddr;</p>
<p> if ( pulSyscallTable == g_KiServiceTable && ulSyscallId <= g_ServiceNum/ 0x11c / )
{
pFakeSysCall = g_FakeSysCallTable[ulSyscallId]; // SSDT
}
else if (pulSyscallTable == g_KeServiceDescriptorTable &&
g_KeServiceDescriptorTable && ulSyscallId <= g_ServiceNum/ 0x11c /)
{
pFakeSysCall = g_FakeSysCallTable[ulSyscallId]; // SSDT
}
else if (pulSyscallTable == g_W32pServiceTableAddr && ulSyscallId <= g_ShadowServiceNum/ 0x29b /)
{
pFakeSysCall = g_FakeSysCallTable[ulSyscallId + 1024]; // ShadowSSDT
}</p>
<p> if ( pFakeSysCall && pFakeSysCall->ulFakeSysCallAddr )
{
pFakeSysCall->ulOrigSysCallAddr = ulSyscallAddr;
return pFakeSysCall->ulFakeSysCallAddr;
}
return ulSyscallAddr;
}
这里须要说明的是，TsFltMgr内部有一张表，暂且命名为 g_FakeSysCallTable，该表中存放的是指向 FAKE_SYSCALL 结构的指针。表中的每个 FAKE_SYSCALL 结构相应一个系统调用，表的前半部分相应SSDT中的系统调用，1024项以后相应ShadowSSDT里的系统调用。
当中 FAKE_SYSCALL 结构大致例如以下（当中非常多域的作用没弄明确）
代码:
复制代码代码如下:
typedef struct __FAKE_SYSCALL__ {
ULONG xxx1;
ULONG ulSyscallId; // 该系统调用的功能号
ULONG xxx3;
ULONG ulTableIndex;
ULONG xxx5;
ULONG ulCountForPreWork;
ULONG ulCountForPostWork;
ULONG xxx8;
ULONG ulOrigSysCallAddr; // 真实的系统调用地址
ULONG ulFakeSysCallAddr; // 假的系统调用地址
ULONG xxx11;
ULONG xxx12;
ULONG xxx13;
……
} FAKE_SYSCALL, PFAKE_SYSCALL, PPFAKE_SYSCALL;
KiFastCallEntry_Filter 函数的所做的就是依据系统调用的功能号在 g_FakeSysCallTable 中索引出相应的 pFakeSysCall 对象，然后推断该系统调用是否须要hook，假设须要则将真实的系统调用地址保存到 pFakeSysCall->ulOrigSysCallAddr 中，并将 pFakeSysCall->ulFakeSysCallAddr 作为假系统调用的地址返回。
这样的调用过程中动态获取真实系统调用地址的方法使 TsFltMgr 的Hook框架有较高的兼容性，比如不会使载入顺序晚于TsFltMgr的驱动中的SSDT Hook失效，比如QQ电脑管家本身带的TSKsp.sys驱动。
对于我的測试系统（XP_SP2），TsFltMgr hook的函数有
代码:
复制代码代码如下:
// SSDT中
NtCreateFile、NtCreateKey、NtCreateSection、NtCreateSymbolicLkObject、NtCreateThread、NtDeleteFile、NtDeleteKey、NtDeleteValueKey、NtDeviceIoControlFile、NtDuplicateObject、NtEnumerateValueKey、NtLoadDriver、NtOpenProcess、NtOpenSection、NtProtectVirtualMemory、NtQueryValueKey、NtRequestWaitReplyPort、NtSetContextThread、NtSetInformationFile、NtSetSystemInformation、NtSetValueKey、NtSuspendThread、NtSystemDebugControl、NtTermateProcess、NtTermateThread、NtWriteFile、NtWriteVirtualMemory</p>
<p>// ShadowSSDT中
NtUserBuildHwndList、NtUserFdWdowEx、NtUserGetForegroundWdow、NtUserMoveWdow、NtUserQueryWdow、NtUserSendInput、NtUserSetParent、NtUserSetWdowLong、NtUserSetWdowPlacement、NtUserSetWdowPos、NtUserShowWdow、NtUserShowWdowAsync、NtUserWdowFromPot
全部假系统函数都有统一的代码框架，假系统函数的代码框架大致例如以下
代码:
复制代码代码如下:
NTSTATUS __stdcall FakeNt_XXX(xxx)
{
PFAKE_SYSCALL pFakeSysCall;
ULONG ulXXX = 0;
ULONG ulStatus;
NTSTATUS status;
ULONGLONG ullTickCount;
pFakeSysCall = g_pFakeSysCall_Nt_XXX; // 该系统调用相应的 pFakeSysCall 对象
status = STATUS_ACCESS_DENIED;
</p>
<p> // 貌似是做性能測试时候须要的，实际版本号中 g_bPerformanceTest 为 FALSE
if ( g_bPerformanceTest ) {
ullTickCount = KeQueryInterruptTime();
}</p>
<p>
// 系统调用的调用前处理！
// +++
InterlockedIncrement(&pFakeSysCall->ulCountForPreWork);
ulStatus = PreWork(&ulXXX, pFakeSysCall);
InterlockedDecrement(&pFakeSysCall->ulCountForPreWork);
// ---
if ( ulStatus != 0xEEEE0004 && ulStatus != 0xEEEE0005)
{
OrigSysCall pOrigSysCall = pFakeSysCall->ulOrigSysCallAddr;</p>
<p> // 调用原始系统调用！
if ( pOrigSysCall && NT_SUCCESS(pOrigSysCall(xxx)) )
{
// 系统调用的调用后处理！
// +++
InterlockedIncrement(&pFakeSysCall->ulCountForPostWork),
ulStatus = PostWork(&ulXXX),
InterlockedDecrement(&pFakeSysCall->ulCountForPostWork),
// ---
}
}</p>
<p> // 0xEEEE0004 应该是拒绝调用的意思，0xEEEE0005 应该是同意调用的意思
if (ulStatus == 0xEEEE0005)
status = STATUS_SUCCESS;</p>
<p> // PsGetCurrentProcessId 这个调用的返回值后面并没实用到，可能是多余的
PsGetCurrentProcessId();</p>
<p> // 貌似是做性能測试时候须要的
if ( g_pFakeSysCall_NtTermateProcess->xxx5 && ullTickCount && g_bPerformanceTest) {
PerformanceTest(&g_pFakeSysCall_NtTermateProcess->xxx13, ullTickCount);
}</p>
<p> return status;
}
以上就是对TsFltMgr Hook框架的一些分析，祝大家元宵快乐~
