基于VT技术的HOOK流程图

最新推荐文章于 2024-04-12 09:56:46 发布
最新推荐文章于 2024-04-12 09:56:46 发布
阅读量4.9k 收藏 20
点赞数 4
分类专栏： Windows内核研究
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44286745/article/details/105133091
版权

基于VT技术,无视PatchGuard

MSR HOOK: 

 EPT HOOK:

 

Win10 1809测试:

吾无法无天
关注
  • 4
    点赞
  • 踩
  • 20
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 6
    评论
专栏目录
[VT虚拟化驱动]利用EPT实现无痕HOOK
吾无法无天的博客
12-06 1万+
本章利用讲EPT无痕HOOK
VT虚拟化技术笔记
weixin_60043341的博客
08-13 1713
VT技术的大致含义如上。一个CPU上有vm monitor和guest。在guest中感受不到自己跑在虚拟环境中。执行普通的操作时在guest中的操作和未开启vt时的操作并没有什么不同，但是在执行一些特殊的指令或者进行一些特殊的操作，如执行cpuid指令、切换cr3指令、读写msr寄存器指令、触发异常时，会将控制权交还给vm monitor，通过vm monitor确定应该如何让该指令或者操作得到执行。在云服务器的搭建中可以使用该技术让一台实体机上可以跑多台虚拟机。...
《TinySvm》基于NPT的无痕hook
weixin_47707022的博客
11-30 202
同时ARK工具下无法观测，实现无痕hook，原因是ARK所读的嵌套页表（NPT）是原始无改的，但在权限上被设为不可执行，所执行的页表含上述hook代码，权限为可执行不可读写，原理与vt hook相同，差异主要存在于对页表的检索。代码连接https://huanfuhezi.lanzouq.com/b276yhg。hook Ntopenprocess函数做进程保护。当调试器附加时，进程句柄不再打开。启动驱动，逐个虚拟化cpu，
探索VirtualHook：一款强大的Windows钩子库
最新发布
gitblog_00056的博客
04-12 309
探索VirtualHook：一款强大的Windows钩子库 项目地址:https://gitcode.com/rk700/VirtualHook 项目简介 VirtualHook 是一个开源的C++库，专为Windows平台设计，提供了一种高效、灵活的方式来实现系统级别的钩子（Hooks）。该项目的目标是简化复杂且易出错的钩子编程，让开发者能够更轻松地监控和拦截应用程序的输入事件，如键盘、鼠标操作...
r3epthook-master.zip
11-29
VT ept进行hook，可以隐藏hook
windows主动防御视频教程
09-07
本套视频教程主要讲windows主动防御视频教程，从windows驱动开发基础到windows的rootkit开发最后到rootkit的检测一步步带领大家从0开始学习windows的rootkit对抗，技术内容主要讲的是各大安全厂商的安全产品底里核心技术，模仿windows上的杀软(ARK)技术展开，如进程模块注入、隐藏、检测等，还重点讲了虚拟化vt、ept等技术，从浅入深。
VT笔记(2)突破patchguard保护完成X64Hook
kernweak的博客
06-24 8828
win10，2018新年版后好像不支持了？ MSR hook MSR (Model Specific Registers)是CPU 的一组64 位寄存器，可以分别通过RDMSR 和WRMSR 两条指令进行读和写的操作，前提要在ECX 中写入MSR 的地址(MSR地址就像一个宏STAR，LSTAR，CSTAR，SFMASK)。对于RDMSR 指令，将会返回相应的MSR 中64bit 信息到(ED...
VT笔记(1)
kernweak的博客
06-24 2880
概念 硬件虚拟化技术，隐藏计算机资源物理性的一面，比如能把单个或多个物理资源，转化为一个或多个逻辑资源。 intel vt-x/或者amdv8（SVM） VT是一个驱动（.sys),由操作系统加载后，运行在每个cpu上，推翻原来的操作系统，然后os和app-r0和r3变成GUEST，建立特权层（host，vmm，hypervisor，root，-1），然后监控GUEST执行。 这样就可以简...
netfilter中的hook流程图
11-12
绝对自己总结的，详细介绍了hook的流程，其中包括调用的一些函数。
基于HOOK技术的监控软件设计
03-30
控软件的信息交流,也叫HOOK技术。该种方法既可以保证不 破坏受控软件的完整性和稳定性,又能实现对特定消息的监控。 本文主要是通过第二种方法实现对某受控软件信息窗体创建和 销毁消息进行监控。文中的编程方法还可...
基于Hook技术的Android平台隐私保护系统
01-20
针对Android中恶意应用窃取用户隐私的问题，设计并实现了一个基于Hook技术的隐私保护系统。该系统包括应用分类模块、隐私信息管理模块和共谋攻击管理模块。应用分类模块利用权限特征向量集构建分类模型，对手机上的...
基于APIHook技术的虚拟串口的实现.pdf
09-29
【API Hook技术】 API Hook是一种在程序中插入代码来拦截...综上所述，基于API Hook技术的虚拟串口提供了一种高效、稳定且灵活的串口模拟解决方案，尤其适用于需要将传统串口通信迁移到无线或网络通信场景的系统升级。
新手学习Vmp之控制流程图生成源代码
06-17
控制流程图的生成对于反混淆分析来说是非常重要的一步，这里记录一下我研究的过程，以Vmp2为例子。 这里我的环境准备如下: Visual Studio + IDA SDK + Capstone + Unicorn + Graphviz IDA SDK插件环境，主要是有...
VT Msr Hook Syscall
小烟的博客
02-26 646
VT Hook Syscall
利用Intel VT实现进程保护
andy7002的博客
05-02 8961
Intel VT即Intel公司的Virtualization Technology虚拟化技术, 在硬件级别上完成计算机的虚拟化。为实现硬件虚拟化 ,VT增加了12条新的 VMX指令。VT可以让一个CPU工作起来像多个CPU在并行运行，从而使得在一部电脑内同时运行多个操作系统成为可能。在安全领域，利用VT技术，64位系统的防护可以做到跟32位同级别的强度。 一、vt调试方法 1. 修改vmx文
Hyperplatform VT HOOK
weixin_33748818的博客
10-20 1291
源码：https://github.com/tandasat/DdiMonhttps://github.com/tandasat/HyperPlatform 转载于:https://blog.51cto.com/haidragon/2306936
使用MDL读写内存的SSDT HOOK
kernweak的博客
05-30 2273
X64下有patchguard，所以先讨论x86的 思路 首先找到函数地址，如果是导出函数，可以使用MmGetSystemRoutineAddress，如果未导出加载符号通过特征码 实现新新函数替换原函数 恢复函数 关于系统从应用层进入内核，xp前是int2e，之后32位是sysenter，64是syscall https://bbs.pediy.com/thread-226254.h...
Vt hook ssdt
12-31
Vt hook ssdt是一种技术，用于在操作系统内核中拦截和修改系统服务调用。通过Vt（Virtualization Technology）技术，可以在操作系统运行时对系统服务进行动态修改，从而实现对系统行为的控制和修改。 以下是一个Vt hook ssdt的示例代码： ```c #include <ntddk.h> ULONG_PTR OriginalServiceAddress = 0; NTSTATUS HookServiceCall(IN PUNICODE_STRING ServiceName, IN ULONG_PTR NewServiceAddress) { NTSTATUS status = STATUS_SUCCESS; ULONG_PTR serviceAddress = 0; // 获取系统服务地址 status = ZwQuerySystemInformation(SystemModuleInformation, NULL, 0, &serviceAddress); if (status != STATUS_INFO_LENGTH_MISMATCH) { return status; } // 遍历系统服务表 PSYSTEM_MODULE_INFORMATION pModuleInfo = (PSYSTEM_MODULE_INFORMATION)ExAllocatePoolWithTag(NonPagedPool, serviceAddress, 'hook'); if (pModuleInfo == NULL) { return STATUS_INSUFFICIENT_RESOURCES; } status = ZwQuerySystemInformation(SystemModuleInformation, pModuleInfo, serviceAddress, NULL); if (!NT_SUCCESS(status)) { ExFreePoolWithTag(pModuleInfo, 'hook'); return status; } for (ULONG i = 0; i < pModuleInfo->NumberOfModules; i++) { PRTL_PROCESS_MODULES pModule = &pModuleInfo->Modules[i]; // 找到ntoskrnl.exe模块 if (wcsstr(pModule->FullPathName, L"ntoskrnl.exe") != NULL) { // 计算SSDT地址 ULONG_PTR ssdtAddress = (ULONG_PTR)pModule->ImageBase + pModule->OffsetToFileName; // 保存原始的系统服务地址 OriginalServiceAddress = *(ULONG_PTR*)ssdtAddress; // 修改系统服务地址为新的地址 *(ULONG_PTR*)ssdtAddress = NewServiceAddress; break; } } ExFreePoolWithTag(pModuleInfo, 'hook'); return status; } NTSTATUS UnhookServiceCall() { if (OriginalServiceAddress != 0) { // 恢复原始的系统服务地址 *(ULONG_PTR*)ssdtAddress = OriginalServiceAddress; OriginalServiceAddress = 0; } return STATUS_SUCCESS; } ``` 以上代码是一个简单的Vt hook ssdt的示例，通过调用`HookServiceCall`函数可以将指定的系统服务地址替换为新的地址，通过调用`UnhookServiceCall`函数可以恢复原始的系统服务地址。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 6
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

吾无法无天

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值