http://hi.baidu.com/rabby163/blog/item/73c71f54dcf10c1c3a293508.html
http://www.titilima.cn/index.php?action=show&id=201
2006 年，中国互联网上的斗争硝烟弥漫。这时的战场上，先前颇为流行的窗口挂钩、API
挂钩、进程注入等技术已然成为昨日黄花，大有逐渐淡出之势；取而代之的，则是更狠毒、
更为赤裸裸的词汇：驱动、隐藏进程、Rootkit……
前不久，我不经意翻出自己 2005 年 9 月写下的一篇文章《DLL的远程注入技术》，在下
面看到了一位名叫L4bm0s的网友说这种技术已经过时了。虽然我也曾想过拟出若干辩解之
词聊作应对，不过最终还是作罢了——毕竟，拿出些新的、有技术含量的东西才是王道。于
是这一次，李马首度从ring3（应用层）的围城跨出，一跃而投身于ring0（内核层）这一
更广阔的天地，便有了这篇《城里城外看SSDT》。——顾名思义，城里和城外的这一墙之
隔，就是ring3 与ring0 的分界。
在这篇文章里，我会用到太多杂七杂八的东西，比如汇编，比如内核调试器，比如DDK。
这诚然是一件令我瞻前顾后畏首畏尾的事情——一方面在ring0 我不得不依靠这些东西，另
一方面我实在担心它们会导致我这篇文章的阅读门槛过高。所以，我决定尽可能少地涉及驱
动、内核与DDK，也不会对诸如如何使用内核调试器等问题作任何讲解——你只需要知道
我大概在做些什么，这就足够了。
什么是 SSDT？
什么是 SSDT？自然，这个是我必须回答的问题。不过在此之前，请你打开命令行
（cmd.exe）窗口，并输入“dir”并回车——好了，列出了当前目录下的所有文件和子目录。
那么，以程序员的视角来看，整个过程应该是这样的：
1. 由用户输入 dir 命令。
2. cmd.exe 获取用户输入的 dir 命令，在内部调用对应的 Win32 API 函数
FindFirstFile、FindNextFile 和 FindClose，获取当前目录下的文件和子目录。
3. cmd.exe 将文件名和子目录输出至控制台窗口，也就是返回给用户。
到此为止我们可以看到，cmd.exe 扮演了一个非常至关重要的角色，也就是用户与 Win32
API 的交互。——你大概已经可以猜到，我下面要说到的 SSDT 亦必将扮演这个角色，这
实在是一点新意都没有。
没错，你猜对了。SSDT 的全称是 System Services Descriptor Table，系统服务描述符
表。这个表就是一个把 ring3 的 Win32 API 和 ring0 的内核 API 联系起来的角色，下面
我将以 API 函数 OpenProcess 为例说明这个联系的过程。
你可以用任何反汇编工具来打开你的 kernel32.dll，然后你会发现在 OpenProcess 中有
类似这样的汇编代码：
汇编代码
1. call ds:NtOpenProcess
这就是说，OpenProcess 调用了 ntdll.dll 的 NtOpenProcess 函数。那么继续反汇编之，
