驅(qū)動學習筆記3.2.4inline hook實例-44課

1、3.2.4 驅(qū)動InLine HOOK實例-44課A、選取HOOK地址B、分析等HOOK函數(shù)參數(shù)C、構(gòu)建HOOK D、實現(xiàn)HOOK E、測試效果:26代碼32 ssdt hookeb ba52c07e 90u nu n jmpOpenPro OpenPro/0 xE9ss l100/jmp my_NtOpenPros my_NtOpenPro/ NtOpenPros=jmps /my_NtOpenPros-RealNtOpenPros-5;/ 定義一下NtOpenPros的原型extern C (typedefNTSUS stdcall NTOPENPROSOUT PHANDLE ProsHa

2、ndle, sMask,IN ACS_MASK AcIN POBJECT_ATTRIBUTES Objectributes,I);NT_ID CntIdNTOPENPROS*RealNtOpenPros;PEPROSEP;/ 自定義的NtOpenPro #pragma PAGECODEs函數(shù) ZwOpenProsNTS OUT IN IN INUS declspec(naked) stdcall MyNtOpenPros(PHANDLE ProsHandle,ACS_MASK DesiredAcs,POBJECT_ATTRIBUTES Objectributes,PCNT_ID CntId )

3、NTSUSrc;HANDLE;KdPr(+Entry MyNtOpenPros+n);/rc = (NTSCntId );US)RealNtOpenPros( ProsHandle, DesiredAcs, Objectributes,if( (CntId != NULL) )= CntId-UniquePros;KdPr( =%dn,(*);/ 如果是被保護的，則，并將句柄設(shè)置為空if(= My)KdPr(被保護進程 My=%d n,( f)My);/調(diào)試輸出 類似C語言的 PrPro rc = SsHandle = NULL; /這個是關(guān)鍵US_ACS_DENIED; /這個返回值/PsL

4、ookupProsByProsId(ULONG),&EP);EP=PsGetCurrentPros();KdPr( A asmS Pros Name-:%s-n,(PTSTR)(ULONG)EP+0 x174);/3/ add esp,10 /彈出4個參數(shù) retn 0 x10 asm/3/ add esp,10 /彈出4個參數(shù)push0 x0C4mov eax,RealNtOpenPro add eax,5jmp eaxs/return rc;SSDT_Adr=(PLONG)*SSDT_Adr;/ 0 xE9HOOK跳ULONGjmpaddr= (ULONG)MyNtOpenPro HOOK

5、s-(ULONG)RealNtOpenPros-5; /SSDT asmmovebx,SSDT_Adrmov eax,jmpaddrmov mov3mov or movBYTE ptr ds:ebx,0 xe9DWORD ptr ds:ebx+1,eaxeax, cr0 eax, 10000h cr0, eaxsti=筆記:以 32 課為例今天寫一個內(nèi)聯(lián) HOOK,打開虛擬機,在 WINDBG 里看一下 u nOpenPros函數(shù),因為 JMP 需要 5 字節(jié),看一下函數(shù)的前三句都適合,所以取第一句最省事.用 SSDT 找到找到 OP 函數(shù)的地址,804e5a88,再看一下地址里的內(nèi)容,就是 NtOP 函數(shù)的地址 8058270a找到地址之后先寫入 5 個字節(jié)跳到 就返回空,如果不是則跳回原有函數(shù)+5的第一句 push 0c4h自己的地址,然后判斷是否被保護的進程,如果是的話的地址,也就是原有函數(shù)的第二句,當然還要寫好原有在虛擬機里進試,輸入被保護的3 斷點斷下來了,原有函數(shù)已經(jīng)被 HOOK后就被了,看一下f775b074 90自己的函數(shù) u f775b0001 3