内核 HOOK ZwMapViewOfSection

最新推荐文章于 2021-11-09 10:37:14 发布
最新推荐文章于 2021-11-09 10:37:14 发布
阅读量3.6k 收藏 1
点赞数
分类专栏： 安全相关 Windows驱动 文章标签： hook dll buffer api

转自：http://lwglucky.blog.51cto.com/1228348/284829


 有部分模块加载时会调用ZwMapViewOfSection,比如进程创建时映射N份DLL到自己的虚拟空间中去.我们替换SSDT中的这个函数,过滤出是加载Kernel32.dll的情况,从参数中取得其基址,Inline Hook其EAT中的CreateThread函数,跳转到在这个进程虚拟地址空间中申请的Buffer,在其中完成DLL的加载过程. 
关键API: 
ZwAllocateVirtualMemory ---- 在此进程空间中分配内存,存放Shellcode 
ZwProtectVirtualMemory ---- 使当前内存块具有可读可写属性 
IoAllocateMdl ---- 创建MDL 
关键Code如下: 



hbprotoss
关注
专栏目录
详谈内核的Inline Hook实现.rar
06-17
内核的Inline Hook是一种在操作系统内核级别进行代码注入的技术，它允许开发者在不修改原始函数源码的情况下，动态地改变函数的行为。这种技术在系统调试、性能优化、安全监控等领域有着广泛的应用。本文将深入探讨...
使用ZwMapViewOfSection创建内存映射文件总结
01-07 789
标 题: 【原创】使用ZwMapViewOfSection创建内存映射文件总结 作 者: 小覃 时 间: 2012-06-15,02:28:36 链 接: http://bbs.pediy.com/showthread.php?t=152144 在写驱动搜索内核模块内存时，你是不...
在NT中直接访问物理内存
11-13 3563
P.bhw98{ PADDING-RIGHT: 0px; PADDING-LEFT: 0px; FONT-SIZE: 9pt; PADDING-BOTTOM: 0px; MARGIN: 10px 0px 5px; LINE-HEIGHT: normal; PADDING-TOP: 0px; FONT-FAMIL
一个注入的老方法 【ZwMapViewOfSection】
weixin_30294021的博客
03-15 654
对不起，我又挫B了，居然连这个方法都不知道。 转载一下： http://blog.w4kfu.com/tag/duqu 还有好多要学的东西啊！ 路漫漫其修远兮~ 样本里的一些东西： ZwQueryInformationProcess ProcessDebugPort 查看是否被调试ZwSetInformationThread ThreadInformationClass...
php内存映射,如何用ZwMapViewOfSection将Driver分配的内存映射到App空间？
weixin_36152359的博客
03-29 197
保存在DDK的例子Mapmem中，用ZwMapViewOfSection将物理地址映射到App空间，该函数能否将系统地址映射到App空间？我尝试着做了一下，但返回invalid_view_size，好像length给的不对。各位大侠帮忙看看啊。PVOIDGetUserAddressFromSystemAddress(IN PVOID iSystemAddress,///系统地址IN ULONG i...
防止内存页被修改（重映射）
u014738665的博客
11-09 2016
参考资料： 1、PUBG 2018.3.9更新的代码页防止更改 2、通过修改VAD属性破除锁页机制 3、R3环申请内存时页面保护与_MMVAD_FLAGS.Protection位的对应关系 4、64位CreateProcess逆向:（四）创建进程的过程 5、深入浅析Windows内核——VAD篇 6、Self-Remapping-Code 虚拟机：VM15 系统：Win7 32位 编译器：VS2019 工具：CE6.5 代码如下： #include <stdio.h&
linux内核hook系统调用execve函数
最新发布
12-07
内核版本:4.19.0-amd64-desktop 功能：hook系统调用execve函数，在系统调用dpkg命令时返回。 这样系统无法安装软件，以及删除软件。 1.下载后 解压直接 make编译 2. sudo insmod hook.ko 进行安装 3. sudo dmesg...
内核模式的apihook.zip_HOOK 内核_hook_内核_内核 hook_驱动hook应用api
09-21
内核模式API Hook是一种高级技术，它涉及到操作系统内核、驱动程序开发以及系统级的调试。在Windows系统中，API Hook通常用于监控或修改应用程序对特定API函数的调用行为，这种技术在软件调试、安全分析、系统监控等...
使用内核三步实现InlineHook的详细分析
07-06
Inlinehook.通俗的说就是对函数执行流程进行修改。达到控制函数过滤操作的目的。理论上我们可以在函数任何地方把原来指令替换成我们的跳转指令，也确实有些人在inlineHook的时候做得很深，来躲避inlineHook的检测。...
火绒注入(内核hook稳定注入)
09-09
火绒注入(内核hook稳定注入)
HOOK(易语言高级部分)
热门推荐
平凡者的专栏
03-17 1万+
Hook API_HOOK核心代码 这里时绝对跳转 FF，有些需要修改内存属性 下面在同进程中也使用通过,其他未测试 hook同进程MessageBoxA 未HOOK前 MessageBoxA HOOK后 MessageBoxA 我们正好把这7个字节改了. mov eax,0x401A5F jmp eax 类_InlineHook 这个就是利用相对跳转。E9 整体逻...
搜狗浏览器网速保护 功能/漏洞/缺陷 分析
Returns' Station
05-23 1919
软件版本 2.2.0.1423 驱动版本 1.0.0.9 主要功能就是对耗流量的下载软件进行限速 ★.r0 挂钩TCPIP的handler 拦截发送包 ★.r0 hook NtMapViewOfSection 加载mswsock.dll时向r3中注入sogouipfilter.dll，将WSPStartup EAT hook至一段shellcode ， 然后加载sogouipfil
学习内核注射DLL到用户态进程空间
ccx_john的专栏
10-18 1340
/* InjectEye的功能是：当系统中有进程加载urlmon.dll时，注射功能代码到该进程中，修改urlmon.dll！DllMain头部的5个字节数据使之跳转到我们的功能代码中，抢先执行，即注射mxEye.dll到该进程中。 */ /* FileName:    InjectEye.h Author:    ejoyc Data    :    [03/05/2010]
物理内存的访问(引）
joimson的专栏
01-19 1010
作者： bhw98        2003-11-05 我们知道，在NT/2K/XP中，操作系统利用虚拟内存管理技术来维护地址空间映像，每个进程分配一个4GB的虚拟地址空间。运行在用户态的应用程序，不能直接访问物理内存地址；而运行在核心态的驱动程序，能将虚拟地址空间映射为物理地址空间，从而访问物理内存地址。 如果要在应用程序中以物理地址方式访问内存，自然而然的办法，是编写一个专用的
【顶】Rootkit技术之内核钩子原理
12-02 853
      我们知道，应用程序总是离不开系统内核所提供的服务，比如它要使用内存的时候，只要跟操作系统申请就行了，而不用自己操心哪里有空闲的内存空间等问题，实际上，这些问题是由操作系统的内核来代劳的。站在黑客的角度讲，如果能够控制内核，实际上就是控制了内核之上的各种应用程序。本文将向您介绍如何建立内核级钩子来控制操作系统向上提供的各种低级功能。有了内核级钩子，我们不但能够控制、监视其他程序并过滤有关
利用签名驱动漏洞过游戏反作弊引擎
做一个快乐学习者
05-06 5972
自己写的驱动没有签名，系统不加载 设置电脑为测试模式加载驱动，某些游戏在该模式下不运行 ASUS EIO64.sysMmMapIoSpace/MmUnmapIoSpaceIOMap64.sysMmMapIoSpace/MmUnmapIoSpaceATSZIO64.sysZwMapViewOfSection/ZwUnmapViewOfSection/MmGetPhysicalAddres...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值