本文介绍了在X64的Windows 7系统中，如何在WIN32应用程序中通过应用层HOOK来拦截驱动层调用的通用方法。通过解析系统调用过程，特别是关键的`fs:[C0]`内存位置，实现对驱动调用的参数篡改、返回信息修改以及不调用驱动直接返回的能力。文中提供了详细的代码注释，展示了如何拦截驱动调用后的返回值，例如随机化MAC地址、硬盘序列号以及进程隐藏等应用场景。
今天要讨论的问题是在一个WIN7 X64系统中WIN32程序的内部利用应用层（R3）HOOK来拦截驱动层（R0）调用的通杀方案，他能实现的效果是：
1、一个HOOK通杀所有。
2、R3层拦截驱动调用，可以篡改传递的参数。
3、可以修改驱动调用后的返回信息。
4、可以自己构造驱动返回信息而不调用驱动直接返回。
下面我们来看看是如何做到的：
Win32时代的 KiFastSystemCall大家应该不陌生，他是R3通过R0的一条道路，但在X64系统上WIN32程序中已经看不到他的影子，我们来看看变成什么样子了，如下图
最低0.47元/天 解锁文章
1149
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
