X64 HOOK IDT

最新推荐文章于 2022-11-10 17:27:31 发布
最新推荐文章于 2022-11-10 17:27:31 发布
阅读量3.9k 收藏 2
点赞数
分类专栏： windwos内核
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_18942885/article/details/49690651
版权
本文深入探讨了X64环境下如何HOOK中断描述表（IDT）。通过展示IDT条目的结构和解析过程，解释了如何替换特定中断处理函数，详细介绍了设置新函数地址的步骤，并涉及KeSetAffinityThread的相关使用。
摘要由CSDN通过智能技术生成
kd> dt nt!_KIDTENTRY64 @idtr + @@(sizeof(nt!_KIDTENTRY64))
   +0x000 OffsetLow        : 0x44c0
   +0x002 Selector         : 0x10
   +0x004 IstIndex         : 0y000
   +0x004 Reserved0        : 0y00000 (0)
   +0x004 Type             : 0y01110 (0xe)
   +0x004 Dpl              : 0y00
   +0x004 Present          : 0y1
   +0x006 OffsetMiddle     : 0x40e
   +0x008 OffsetHigh       : 0xfffff800
   +0x00c Reserved1        : 0
   +0x000 A
最低0.47元/天 解锁文章
qq_18942885
关注
专栏目录
简单的修改IDT，实现hook page_fault中断处理进程
warriorpaw的专栏
09-28 3025
一个想法的副产物，，， 参考 http://stackoverflow.com/questions/2497919/changing-the-interrupt-descriptor-table 不多说 就上代码算了。。。 Centos 5.5 编译测试通过 #include #include #include typedef struct desc_struct gat
x64 使用IDT中断R3提权至R0调用
最新发布
Wonderful
03-16 363
x64 使用IDT中断R3提权至R0调用
深入理解 x86/x64 的中断体系
fivedoumi的专栏
01-03 9404
实模式下的中断机制 中断向量表（IVT）改变中断向量表地址设置自己的中断服务例程 保护模式下的中断机制 查找 interrupt handler 入口IDT 表中 descriptor 类型的检查使用 16-bit gate descriptorIDT 表的 limit 检查请求访问 interrupt handler 时的权限检查 gate 的权限设置interrupt ha
detours， x86 kernel hook 以及 x64 kernel hook
基岩的专栏
02-28 1664
detours， x86 kernel hook 以及 x64 kernel hookhttp://bbs.driverdevelop.com/htm_data/92/0702/99096.html我假设读者已经非常熟悉detours，阅读此文只是为了增强对detours的理解以及为了实现x64 hook。有关detours原理部分不再多讲。X86 Kernel Hook早些年，我把det
x64 APIHOOK
04-17
64位系统的apihook类,方便使用apihook,64位asm很麻烦的..
hook idt
云淡风轻
12-03 1554
extern "C"{ #include } typedef unsigned int DWORD; typedef unsigned short WORD; typedef unsigned char BYTE; #pragma pack(1) typedef struct{ WORD IDTLimit; DWORD IDTBase; }IDTR; typedef struct{ WOR
x64 APIHook类
04-17
x64 APIHook类,用在x64位操作系统下的apihook
C/C++ x64 Inline Hook 代码封装
m0_46135508的博客
11-10 1045
接着来研究一下64位程序的Hook,64位与32位系统之间无论从寻址方式,还是语法规则都与x32架构有着本质的不同,所以上面的使用技巧只适用于32位程序,注入32位进程使用,下面的内容则是64位下手动完成Hook挂钩的一些操作手法,由于64位编译器无法直接内嵌汇编代码,导致我们只能调用C库函数来实现Hook的中转.简单实现64位Hook去弹窗: 由于64位编译器无法直接内嵌汇编代码,所以在我们需要Hook时只能将跳转机器码以二进制字节方式写死在程序里,如下代码是一段简单的演示案例,主要实现了去弹窗的功能.
做X64 shadow SSDT HOOK引擎那些事儿~~
落笔飞花笑百生的博客
09-23 2472
废话不多少 我做HOOK引擎遇到的事儿~~~ 先看一下代码 ，里面有详细地址 .text:FFFFF97FFF072744 NtUserGetForegroundWindow proc near     ; DATA XREF: .text:FFFFF97FFF0D20E0o .text:FFFFF97FFF072744                                 
【C++】D3D11 最新HOOK 源码支持X86_X64
05-21
【C++】D3D11 最新HOOK 源码支持X86_X64 【C++】D3D11 最新HOOK 源码支持X86_X64 【C++】D3D11 最新HOOK 源码支持X86_X64 【C++】D3D11 最新HOOK 源码支持X86_X64 【C++】D3D11 最新HOOK 源码支持X86_X64 【C++】D3D11 最新HOOK 源码支持X86_X64 【C++】D3D11 最新HOOK 源码支持X86_X64 【C++】D3D11 最新HOOK 源码支持X86_X64 【C++】D3D11 最新HOOK 源码支持X86_X64 【C++】D3D11 最新HOOK 源码支持X86_X64 【C++】D3D11 最新HOOK 源码支持X86_X64 【C++】D3D11 最新HOOK 源码支持X86_X64
驱动编程-idt hook--中断描述符表
健景的博客
05-04 979
整理下之前过驱动保护的学习，idt hook也是一个经常用到的hook思路。 还是要用到inline hook进入到中断函数地址进行jmp //获取idt表地址 //修改int3中断函数 #include #include #ifdef __cplusplus extern "C" { #endif #include //这里包含需要用C方式编译的头文件 #ifdef __cplusplu
x64 antidebug 不触发PG 补充代码
落笔飞花笑百生的博客
08-05 3175
因为搬家了  还有 板砖很忙 没办法 工头都懂得的~~~~ 先说antiantidebug 都知道 32位的驱动保护  不用VT说白了就是 HOOK过来 HOOK过去  比的是谁的 钩子深  谁的 钩子更多~~~~ 然而 64位呢 很多保护 例如TP/HP/HS 基本就是驱动几个callbacks 应用层 几个钩子 反调试  模拟一场等等    我的 PASS方法呢 例如TP钩子 KIuse
64 位 Hook
osummertime的博客
11-11 1891
具体代码请参考改动的代码_asm { lea rdi, OldCode mov rsi, oldAddr cld movsd movsb } NewCode[0] = 0xe9; _asm { lea rax, Core
simulink 28335 代码_译：深入理解x64的代码模型
weixin_39797393的博客
10-28 467
注:此文并没有按照原文一对一翻译，做了部分补充与修改，本人水平有限如有错误请在评论区指出。当在编写x64架构的代码时一个很有趣的问题将会出现：应该使用哪种代码模型来编写代码呢？这算是一个鲜为人知的话题，但如果你想了解编译器是如何编译x64机器代码，想要熟悉代码模型还是很有必要了解的，而且如果这里对于那些想要性能优化，关心代码执行效率最高的指令的人来说很有帮助。这个话题在网上的资料非常少，目前为止最...
windbg命令----!idt
weixin_30511039的博客
03-02 183
!idt扩展显示指定的中断分配表(interrupt dispatch table (IDT))中的中断服务例程(interrupt service routine (ISR)) -a 没有指定IDT时，会以简短的格式显示目标机上所有处理器的IDT。如果指定了-a，则显示所有IDT的ISR。 简短方式： kd> !idt Dumping IDT: 37: 80...
HOOK IDT频繁蓝屏(Window 正确 HOOK IDT)
11-12 300
环境 win7x64 Microsoft Windows [版本 6.1.7601]也是一个朋友 HOOK IDT 测试 问我IDT为啥老是蓝屏。结果是因为swapgs问题。 如果你知道swapgs作用。或者 在IDT swapgs起到的作用 就不用往下看了。 给我朋友解释了 结果他还是不理解。。。所以写个文章吧。 希望可以帮到其他朋友 我们先来分析下IDT的函数开发 图1...
反idt hook 隐藏hook idt
05-14 1301
#include "ntddk.h" #include "ntddk.h" #define WORD USHORT #define DWORD ULONG #define MAKELONG(a, b) ((LONG)(((WORD)(((DWORD_PTR)(a)) & 0xffff)) \ | ((DWORD)((WORD)(((DWORD_PTR)(b)) & 0xffff)
c++ x64 inline hook
01-26
x64 Inline Hook（内联钩子）是一种在x64架构下实现的钩子技术，用于在程序运行时对函数进行修改或者监控。钩子技术可以用于实现一些高级功能，如函数拦截、行为修改和调试等。 Inline Hook的主要原理是通过修改函数的机器码，将目标函数的执行流程改变到一个特定的钩子函数，从而实现我们所需的功能。这个钩子函数可以进行一系列的操作，如记录参数、修改参数、替换返回值等。 x64 Inline Hook实现相对复杂，因为x64架构下的指令集更加复杂，并且x64架构引入了新的寄存器和指令，如RAX、R10、R11，还有新的调用惯例等。因此，在实现x64 Inline Hook前，我们需要对x64汇编指令和调用惯例有深入的了解。 具体实现Inline Hook主要包括以下几个步骤： 1. 定位到目标函数的地址。可以通过符号表、导入表或者动态调试等方式获取目标函数的地址。 2. 备份目标函数的原始字节码。为了在后续操作中恢复目标函数的完整执行流程，我们需要保留原始字节码。 3. 修改目标函数的字节码。通过修改目标函数的机器码，将执行流程转移到我们的钩子函数。 4. 编写钩子函数。钩子函数的参数和返回值需要与目标函数保持一致，并实现所需的功能。 5. 恢复目标函数的原始字节码。在钩子函数执行完毕后，需要将目标函数的字节码恢复到原始状态，以确保程序正常运行。 6. 跳回目标函数。在钩子函数执行完成后，我们需要将执行流程跳转回原始的目标函数。 需要注意的是，Inline Hook的实现需要考虑到多线程的情况，并且要保证对内存的修改是线程安全的，以及在恢复原始字节码时要避免潜在的问题。 总的来说，x64 Inline Hook是一种强大的技术，可以用于实现程序的函数修改和监控等高级功能。但它的实现相对复杂，需要对x64架构和汇编指令有深入的理解。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值