做X64 shadow SSDT HOOK引擎那些事儿~~

最新推荐文章于 2024-06-29 19:33:34 发布
最新推荐文章于 2024-06-29 19:33:34 发布
阅读量2.4k 收藏
点赞数
分类专栏： windwos内核 逆向
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_18942885/article/details/48691061
版权
本文探讨在X64环境下构建Shadow SSDT Hook引擎时遇到的问题。通过分析`ExEnterPriorityRegionAndAcquireResourceShared`函数，揭示了RIP相对寻址在挂钩窗口服务函数时可能导致的寻址错误，以及由此引发的内存访问异常和蓝屏风险。为解决这个问题，提出了保存原始RIP偏移并构建代理函数的方法。
摘要由CSDN通过智能技术生成
废话不多少 我做HOOK引擎遇到的事儿~~~

先看一下代码 ，里面有详细地址
.text:FFFFF97FFF072744 NtUserGetForegroundWindow proc near     ; DATA XREF: .text:FFFFF97FFF0D20E0o
.text:FFFFF97FFF072744                                         ; .pdata:FFFFF97FFF2E44F0o ...
.text:FFFFF97FFF072744
.text:FFFFF97FFF072744 arg_0           = qword ptr  8
.tex
最低0.47元/天 解锁文章
qq_18942885
关注
专栏目录
Win64 驱动内核编程-22.SHADOW SSDT HOOK（宋孖健）
天使也掉毛
03-26 4798
SHADOWSSDTHOOK HOOK和UNHOOKSHADOWSSDT跟之前的HOOK/UNHOOKSSDT类似，区别是查找SSSDT的特征码，以及根据索引计算函数地址的公式，还有一个就是吧跳转函数写在什么位置，SSDT的时候是写在蓝屏函数里了。 一、获得wKeServiceDescriptorTableShadow的地址 这个跟获得KeServi...
Hook Shadow SSDT
06-03 1348
作 者: sislcb时 间: 2008-06-02,23:21链 接: http://bbs.pediy.com/showthread.php?t=65931网上很多文章都有关于SSDT的完整的实现，但是没有关于Shadow SSDT的完整实现，目前最好的文章是《shadow ssdt学习笔记 by zhuwg》，我这里的程序也很多参考了他的文章，在这里谢谢了。我这里给出一个hook shado
41.HOOK引擎设计原理
最新发布
计算机王的博客
06-29 324
单机游戏逆向、单机游戏安全、c++、反游戏外挂
ShadowSSDT hook
kernweak的博客
06-01 409
ShadowSSDT保存在win32k.sys中，未导出，不是常驻内存。 采用硬编码，查到某些加载了shadowSSDT进程，所以找一个CSRSS进程，然后KeStackAttachProcess到一个有GUI线程的进程中，csrss.exe就刚好有。这个进程特征是句柄表中Portobject（type21）句柄是\\Windows\\ApiPort的PID就是就是。 然后考虑下标：下标只能硬...
Win7 64位的SSDTHOOK(2)---64位SSDT hook的实现
whatday的专栏
09-14 3981
Hook之前要干掉PG：http://www.m5home.com/bbs/thread-5893-1-1.html 上篇文章知道了寻找SSDT表的方法，这篇记录一下如何实现SSDT表的Hook。 下面以Hook NtOpenProcess为例，之前我查SSDT表发现NtOpenProcess函数的标号为35，用XT等工具也能查看。 废话不多说，上代码。 [
关于Win7 x64 Shadow SSDT 的探索和 Inline HOOK
fyfy
05-15 3932
http://bbs.pediy.com/thread-210481.htm 来看雪一年了，在这里面学到了很多知识，非常感谢各位前辈对知识的分享和不懈的研究，也非常感谢各位大神对我们这些小白的照顾，特别要感谢MaMy、hksoobe、luolinlove等大神的指导。我也一直非常希望能为看雪贡献一点什么，但是小白的理解估计大神也看不上，这次也是注册看雪一周年，冲着这个也来发表一点自己的理
ShadowSSDT Hook
倒计时
12-26 3418
ShadowSSDT表的获取 这里的ShadowSSDT表的获取是通过函数KeAddSystemServiceTable来获取的。 使用这个函数的原因： 1、这个函数是已经导出的，可以在代码中直接使用。 2、这个函数里面使用了ShadowSSDT，包含了ShadowSSDT的地址。 可以使用WinDbg查看该函数代码，如下： kd> u KeAddSystemServiceTabl
src_过pg_过windowspg_64位SSDThook实现方法_过PG_
09-30
标题中的“src_过pg_过windowspg_64位SSDThook实现方法_过PG_”似乎是指一个关于在64位Windows系统下绕过Process Guard (PG)并通过修改System Service Dispatch Table (SSDT)实现hook的技术教程。描述中的“WINDOWS ...
ssdt.Recover.21yu3:绕过卡巴斯基主动防御,加载驱动，unhook所有ssdt hook及shadow ssdt hook
05-06
ssdt.Recover.21yu3 ...然后DLL加载驱动，unhook所有ssdt hook及shadow ssdt hook 威力非常大的一份代码，当年没有流出是非常明智的。 如今win10已经面世，希望能给后来人借鉴的价值。 我现在的blog:
win7 64位 ssdthook
11-21
通过hook内核中ssdt表中的ntopenprocess函数，标号为35，可通过遍历ssdt表查找得知，可实现进程保护。 适用系统：win7 64，需关闭驱动签名保护 编程工具：vs2012+wdk8.0
64位驱动SSDTHOOK教程
10-02
完整的64位驱动SSDTHOOK文档资料,学习win7 64位驱动很好的
易语言Shadow ssdt HOOK恢复
05-19
易语言Shadow ssdt HOOK恢复
x64 ssdt shadowssdt inlinkhook
04-07
标题中的“x64 ssdt shadowssdt inlinkhook”涉及到的是Windows系统内核级的钩子技术，尤其是针对x64架构下的System Service Dispatch Table (SSDT)和Shadow SSDT的内联钩子（In-Process Hook）实现。SSDT是Windows...
ShadowSSDT的hook
weixin_42486644的博客
06-23 662
Windows X86下系统中一共有2个系统服务描述符表，保存在如下的结构体中： typedef struct _KSYSTEM_SERVICE_TABLE { PULONG ServiceTableBase; //服务表的基址 PULONG ServiceCounterTableBase; ULONG NumberService; ...
x64技术之SSDT_Hook
Hades的博客
05-10 5628
x64技术之SSDT_Hook测试环境:虚拟机: Windows 7 64bit过PG工具驱动加载工具PCHunter64系统自带的计算器和任务管理器等实现思路:实际思路与win32的思路一样.都是替换SSDT表里边的函数地址.不过微软被搞怕了,所以在x64上做了一些手脚.具体手脚就是x64通过SSDT得到的函数地址,不是真实的函数绝对地址了,而是加密了的.HOOK1.得到系统服务表基址2.保存需...
Windows下Ring0级进程保护组件：SSDT HOOK技术实现
"基于SSDT HOOK 技术的Ring0级进程保护组件设计与实现" 在Windows操作系统中，实现进程保护通常需要深入到系统的核心层，即Ring0级别。这篇文档详细介绍了如何利用SSDT（System Service Descriptor Table，系统服务...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值