不知道该说啥好

我来说吧，楼主你好。请先学习asm然后再看明白函数和函数参数的逆向代码，再来hook吧。
谢谢楼主提问，让尔等豁然开朗，茅塞顿开啊。

为什么不行呢

你说的太不明白了 我很乐意解决你的问题

NtOpenThread仍然是导出函数  NtOpenProcess还是导出函数 一样采用SSDT HOOK就行了
KeAttachProcess导出函数   采用inline吧

请把你遇到的问题详细说出  不然我想死都不知道为什么不行

SSDT HOOK跟导不导出有什么关系......

做HOOK要注意堆栈平衡问题

没什么关系啊 但是楼主说：按照HOOK NtOpenProcess的方法来HOOK NtOpenThread好像是不行的。我才说2个都是导出的 不肯能不行。如果一个导出，一个未导出 还有可能不行

强调这2个函数都是导出函数  更加说明 采用一摸一样做法完全不可能出现不行的说法

给个进程窗口保护的C完整代码给你研究研究，HOOK了如下函数：

//处理Kernel函数
        UNICODE_STRING uniFuncName;
        RtlInitUnicodeString(&uniFuncName,L"ObOpenObjectByPointer");
        ObOpenObjectByPointer = MmGetSystemRoutineAddress(&uniFuncName);
        RtlInitUnicodeString(&uniFuncName,L"KeInsertQueueApc");
        KeInsertQueueApc = MmGetSystemRoutineAddress(&uniFuncName);
        RtlInitUnicodeString(&uniFuncName,L"KeStackAttachProcess");
        KeStackAttachProcess = MmGetSystemRoutineAddress(&uniFuncName);       
        RtlInitUnicodeString(&uniFuncName,L"KeAttachProcess");
        KeAttachProcess = MmGetSystemRoutineAddress(&uniFuncName);       
        RtlInitUnicodeString(&uniFuncName,L"PsLookupThreadByThreadId");
        PsLookupThreadByThreadId = MmGetSystemRoutineAddress(&uniFuncName);       
        //处理SSDT/SSSDT函数
        NtDuplicateObject=(PVOID)GetSSDTCurAddr(NtDuplicateObject_Index,FALSE);
        NtUserQueryWindow=(PVOID)GetSSDTCurAddr(NtUserQueryWindow_Index,TRUE); //当前SSDTSHADOW 函数指针 需要的自己加
        NtUserFindWindowEx=(PVOID)GetSSDTCurAddr(NtUserFindWindowEx_Index,TRUE);
        NtUserBuildHwndList=(PVOID)GetSSDTCurAddr(NtUserBuildHwndList_Index,TRUE);
        NtUserWindowFromPoint=(PVOID)GetSSDTCurAddr(NtUserWindowFromPoint_Index,TRUE);
        NtUserSetParent=(PVOID)GetSSDTCurAddr(NtUserSetParent_Index,TRUE);
        NtUserPostMessage=(PVOID)GetSSDTCurAddr(NtUserPostMessage_Index,TRUE);
        NtUserMessageCall=(PVOID)GetSSDTCurAddr(NtUserMessageCall_Index,TRUE);
        NtUserDestroyWindow=(PVOID)GetSSDTCurAddr(NtUserDestroyWindow_Index,TRUE);
        NtUserShowWindow=(PVOID)GetSSDTCurAddr(NtUserShowWindow_Index,TRUE);
        NtUserSetWindowLong=(PVOID)GetSSDTCurAddr(NtUserSetWindowLong_Index,TRUE);

上传的附件：

• code.rar （97.58kb，348次下载）

下载学习一下，感谢楼上分享

学习一下，感谢分享