这篇博客介绍了如何在Windows驱动开发中使用inlinehook技术监控NtCreateFile函数。通过获取NtCreateFile的地址，关闭写保护，构造跳转指令，然后在钩子函数DetourNtCreateFile中检查文件路径，达到拦截特定文件创建的目的。当驱动卸载时，会恢复被hook的函数。
#include "Driver.h"
unsigned char OrgCode[5]; //原函数开头5个字节的代码
unsigned char HookJmp[5] = {0xe9,0,0,0,0}; //放入原函数开头的Hook跳转
INT old_cr0; //存放cr0寄存器的内容
ULONG CreateAddr; //存放NtCreateFile的地址
#pragma LOCKEDCODE
/******************************************
打开写保护
*******************************************/
VOID WOpen(){
_asm{
cli
push eax
mov eax,old_cr0
mov cr0,eax
pop eax
}
return;
}
#pragma LOCKEDCODE
/******************************************
关闭写保护
*******************************************/
VOID WClose(){
_asm{
push eax
mov eax,cr0
mov old_cr0,eax
and eax,0xfffeffff
mov cr0,eax
pop eax
sti
}
}
#pragma LOCKEDCODE
/***************
最低0.47元/天 解锁文章
扫一扫
5621
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
