普及X64 ssdtshadow inline HOOK

最新推荐文章于 2020-02-13 17:12:36 发布
最新推荐文章于 2020-02-13 17:12:36 发布
阅读量333 收藏
点赞数
分类专栏： windows驱动

https://bbs.pediy.com/thread-204323.htm



天经地义之经
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
win7 64位 ssdthook
11-21
通过hook内核中ssdt表中的ntopenprocess函数，标号为35，可通过遍历ssdt表查找得知，可实现进程保护。 适用系统：win7 64，需关闭驱动签名保护 编程工具：vs2012+wdk8.0
简单实现了下SSDT SHADOW HOOK
zqf_office的专栏
10-23 1377
介绍：         SSDT SHADOW HOOK可用于安全软件窗口保护、安全输入、截屏保护等。例如：挂钩NtUserFindWindowEx、NtUserGetForegroundWindow、NtUserBuildHwndList、NtUserQueryWindow、NtUserWindowFromPoint、NtUserSetParent、NtUserPostMessage、NtUs
Win64 驱动内核编程-23.Ring0 InLineHook 和UnHook
墨鱼菜鸡
12-18 214
Ring0InLineHook和UnHook 如果是要在R0里hook，作者的建议是InLineHOOK，毕竟SSDTHOOK和SHADOWSSDTHOOK比较麻烦，不好修改。目前R3的InLineHOOK我比较喜欢的是MINIHOOKENGINE，但是今天要解决的是R0...
SSDTinlinehook（64位）
weixin_34335458的博客
10-26 233
源码：https://github.com/haidragon/SSDTHOOK_win7x64/tree/master/SSDTHOOK_win7x64SSDT表的查找：https://blog.csdn.net/zfdyq0/article/details/26515019https://bbs.pediy.com/thread-249851.htm补充知识点：https://blog.csd...
win10 x64中inlineHook SSDT里面的函数
吾无法无天的博客
02-13 4397
inlineHook的原理： 为了方便好理解，一些变量名和函数名在这里使用中文命名，有些编译器不支持中文命名，在这里要注意（我的是VS2019） hook.h： #pragma once #include<ntifs.h> #include<ntddk.h> #pragma intrinsic(__readmsr) //SSDT表 typedef str...
x64技术之SSDT_Hook
Hades的博客
05-10 5530
x64技术之SSDT_Hook测试环境:虚拟机: Windows 7 64bit过PG工具驱动加载工具PCHunter64系统自带的计算器和任务管理器等实现思路:实际思路与win32的思路一样.都是替换SSDT表里边的函数地址.不过微软被搞怕了,所以在x64上做了一些手脚.具体手脚就是x64通过SSDT得到的函数地址,不是真实的函数绝对地址了,而是加密了的.HOOK1.得到系统服务表基址2.保存需...
Win7 64位的SSDTHOOK(2)---64位SSDT hook的实现
whatday的专栏
09-14 3952
Hook之前要干掉PG：http://www.m5home.com/bbs/thread-5893-1-1.html 上篇文章知道了寻找SSDT表的方法，这篇记录一下如何实现SSDT表的Hook。 下面以Hook NtOpenProcess为例，之前我查SSDT表发现NtOpenProcess函数的标号为35，用XT等工具也能查看。 废话不多说，上代码。 [
对于X64 驱动 SSDT hook不能超过4GB的原因？
u012129783的博客
05-09 291
fffff80000ba1000 fffff80000bcb000 kdbazis (deferred) fffff80003e17000 fffff800043f4000 nt (pdb symbols) c:\symbols\ntkrnlmp.pdb\F8E2A8B5C9B74BF4A6E4A48F180099942\ntkrnlmp.pdb f...
x64内核hook
liuhaidon1992的博客
01-07 1434
x64中系统提供了api帮助我们进行hook，主要是如下三个函数 PsSetCreateProcessNotifyRoutineEx，这个函数的作用就是当进程创建的时候会通知你.， PsSetCreateThreadNotifyRoutine，这个函数的作用是 当线程创建的时候会通知你。 PsSetLoadImageNotifyRoutine，这个函数的作用是 当模块加载的时候会通知你。 ...
Inline Hook_inlinehook_x86_x64_64位HOOK_
09-28
一个Inline Hook插件
SSDT表 hook 原理 教程源码
01-25
SSDT表 hook 原理 源码
Hook Shadow SSDT(源码)
08-18
Hook Shadow SSDT.c的源代码，适合于学习以及应用分析。
64位驱动SSDTHOOK教程
10-02
完整的64位驱动SSDTHOOK文档资料,学习win7 64位驱动很好的
如何区分ssdt hook和inline hook钩子
01-25
如何区分ssdt hook和inline hook的区别
WIN64位驱动 InLine_HOOK框架
12-28
Win64 和 Win32 都可用的内核 InLineHook 框架,网上找的感觉都很麻烦, 这个感觉比较清晰明了, 但也有不足之处 就是修改函数头部时 不够完美;但是日常使用感觉足够了.
inline hook x86 x64
01-27
inline hook x86 x64 windows
如何找SSDT中精准的
weixin_34235135的博客
08-24 197
2019独角兽企业重金招聘Python工程师标准>>> ...
c++ x64 inline hook
最新发布
01-26
x64 Inline Hook（内联钩子）是一种在x64架构下实现的钩子技术，用于在程序运行时对函数进行修改或者监控。钩子技术可以用于实现一些高级功能，如函数拦截、行为修改和调试等。 Inline Hook的主要原理是通过修改函数的机器码，将目标函数的执行流程改变到一个特定的钩子函数，从而实现我们所需的功能。这个钩子函数可以进行一系列的操作，如记录参数、修改参数、替换返回值等。 x64 Inline Hook实现相对复杂，因为x64架构下的指令集更加复杂，并且x64架构引入了新的寄存器和指令，如RAX、R10、R11，还有新的调用惯例等。因此，在实现x64 Inline Hook前，我们需要对x64汇编指令和调用惯例有深入的了解。 具体实现Inline Hook主要包括以下几个步骤： 1. 定位到目标函数的地址。可以通过符号表、导入表或者动态调试等方式获取目标函数的地址。 2. 备份目标函数的原始字节码。为了在后续操作中恢复目标函数的完整执行流程，我们需要保留原始字节码。 3. 修改目标函数的字节码。通过修改目标函数的机器码，将执行流程转移到我们的钩子函数。 4. 编写钩子函数。钩子函数的参数和返回值需要与目标函数保持一致，并实现所需的功能。 5. 恢复目标函数的原始字节码。在钩子函数执行完毕后，需要将目标函数的字节码恢复到原始状态，以确保程序正常运行。 6. 跳回目标函数。在钩子函数执行完成后，我们需要将执行流程跳转回原始的目标函数。 需要注意的是，Inline Hook的实现需要考虑到多线程的情况，并且要保证对内存的修改是线程安全的，以及在恢复原始字节码时要避免潜在的问题。 总的来说，x64 Inline Hook是一种强大的技术，可以用于实现程序的函数修改和监控等高级功能。但它的实现相对复杂，需要对x64架构和汇编指令有深入的理解。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值