unhook——如何得到原始派遣函数的地址

iiprogram

于 2008-08-18 22:01:00 发布

阅读量684

点赞数

分类专栏： windows底层核心編程文章标签： string

本文链接：https://blog.csdn.net/iiprogram/article/details/2792167

版权

windows底层核心編程专栏收录该内容

743 篇文章

订阅专栏

本文介绍了一个名为HookDiskSys的函数实现细节。该函数通过引用内核对象名称来获取磁盘系统对象，并对其进行修改，包括替换旧的磁盘写入、设备控制及内部控制函数。在确保对象有效的情况下，使用自旋锁保护关键区域，完成函数地址的更新。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

__int32 __cdecl HookDiskSys()
{
__int32 result; // eax@1
KIRQL v1; // al@3
UNICODE_STRING DestinationString; // [sp+0h] [bp-Ch]@1
KSPIN_LOCK SpinLock; // [sp+8h] [bp-4h]@3

RtlInitUnicodeString(&DestinationString, L"//Driver//Disk");
result = ObReferenceObjectByName(&DestinationString, 64, 0, 0, IoDriverObjectType, 0, 0, &DiskSysObject);
if ( result >= 0 )
{
    result = (__int32)DiskSysObject;
    if ( DiskSysObject )
    {
      OldDiskWrite = *((_DWORD *)DiskSysObject + 18);
      OldDiskDeviceControl = (int (__stdcall *)(_DWORD, _DWORD))*((_DWORD *)DiskSysObject + 28);
      OldDiskIntenalControl = *((_DWORD *)DiskSysObject + 29);
      KeInitializeSpinLock(&SpinLock);
      v1 = KfAcquireSpinLock(&SpinLock);
      *((_DWORD *)DiskSysObject + 18) = NewDiskWrite;
      *((_DWORD *)DiskSysObject + 28) = NewDiskDeviceControl;
      *((_DWORD *)DiskSysObject + 29) = NewDiskWrite;
      KfReleaseSpinLock(&SpinLock, v1);
      result = ObfDereferenceObject(DiskSysObject);
    }
}
return result;
}