[讨论]win64 Ring3 inline Hook如何实现啊-编程技术-看雪-安全社区|安全招聘|kanxue.com

最新回复 (7)
cvcvxk 雪币： 8835 活跃值： (2404) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 234 关注私信	cvcvxk 10 2 楼首先要Disable PageGuard~ 接着要习惯性的改页属性为RWX 64上默认页属性为RX，不可写~ 接着是把x86汇编的5字节hook法，改成64的~ 2010-1-12 18:05 0
cjim 雪币： 219 活跃值： (50) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 43 粉丝 0 关注私信	cjim 3 楼你可以参考下codeplex上的EasyHook工程 2010-1-12 22:22 0
cvcvxk 雪币： 8835 活跃值： (2404) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 234 关注私信	cvcvxk 10 4 楼 EasyHook貌似不能实现对真64位的hook~~ 指令集都不一样了~ 2010-1-13 00:20 0
cschenhui 雪币： 290 活跃值： (20) 能力值： ( LV3，RANK：20 ) 在线值：发帖 1 回帖 116 粉丝 0 关注私信	cschenhui 5 楼 Ring3 Hook没什么限制，基本上和x86 差不多就是跳转指令有点不一样但是e8,e9是一样的ff15,ff25等的计算方法有点不一样和e8,e9的计算方法差不多 2010-1-13 09:22 0
fhurricane 雪币： 492 活跃值： (53) 能力值： ( LV6，RANK：80 ) 在线值：发帖 36 回帖 270 粉丝 2 关注私信	fhurricane 1 6 楼关注和学习了 2010-1-13 10:39 0
charme 雪币： 112 活跃值： (48) 能力值： ( LV9，RANK：320 ) 在线值：发帖 17 回帖 143 粉丝 1 关注私信	charme 7 7 楼 patchgurd不突破也是可以的 5字节大法行不通了，，你写个length disasm看下ntdll里面函数的开头16个字节看看，，5字节根本不够对于 mov eax,xxh .. sysenter 这样的虽然字节少，但是16字节对齐，，也占16字节也就是说5字节大法应该改成16字节大法，，呼呼 2010-1-14 11:01 0
shuinong 雪币： 33 活跃值： (15) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 30 粉丝 0 关注私信	shuinong 8 楼没有啦，是R3 inline hook ，不需要Disable PageGuard。可以实现，但是不要用jmp指令了。也可以另写汇编文件，编译进去。 2010-3-29 15:39 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (7)
cvcvxk 雪币： 8835 活跃值： (2404) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 234 关注私信	cvcvxk 10 2 楼首先要Disable PageGuard~ 接着要习惯性的改页属性为RWX 64上默认页属性为RX，不可写~ 接着是把x86汇编的5字节hook法，改成64的~ 2010-1-12 18:05 0
cjim 雪币： 219 活跃值： (50) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 43 粉丝 0 关注私信	cjim 3 楼你可以参考下codeplex上的EasyHook工程 2010-1-12 22:22 0
cvcvxk 雪币： 8835 活跃值： (2404) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 234 关注私信	cvcvxk 10 4 楼 EasyHook貌似不能实现对真64位的hook~~ 指令集都不一样了~ 2010-1-13 00:20 0
cschenhui 雪币： 290 活跃值： (20) 能力值： ( LV3，RANK：20 ) 在线值：发帖 1 回帖 116 粉丝 0 关注私信	cschenhui 5 楼 Ring3 Hook没什么限制，基本上和x86 差不多就是跳转指令有点不一样但是e8,e9是一样的ff15,ff25等的计算方法有点不一样和e8,e9的计算方法差不多 2010-1-13 09:22 0
fhurricane 雪币： 492 活跃值： (53) 能力值： ( LV6，RANK：80 ) 在线值：发帖 36 回帖 270 粉丝 2 关注私信	fhurricane 1 6 楼关注和学习了 2010-1-13 10:39 0
charme 雪币： 112 活跃值： (48) 能力值： ( LV9，RANK：320 ) 在线值：发帖 17 回帖 143 粉丝 1 关注私信	charme 7 7 楼 patchgurd不突破也是可以的 5字节大法行不通了，，你写个length disasm看下ntdll里面函数的开头16个字节看看，，5字节根本不够对于 mov eax,xxh .. sysenter 这样的虽然字节少，但是16字节对齐，，也占16字节也就是说5字节大法应该改成16字节大法，，呼呼 2010-1-14 11:01 0
shuinong 雪币： 33 活跃值： (15) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 30 粉丝 0 关注私信	shuinong 8 楼没有啦，是R3 inline hook ，不需要Disable PageGuard。可以实现，但是不要用jmp指令了。也可以另写汇编文件，编译进去。 2010-3-29 15:39 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复