-
-
[求助]PsCreateSystemThread Hook过程中传入的参数结构
-
发表于:
2010-3-13 21:45
6074
-
[求助]PsCreateSystemThread Hook过程中传入的参数结构
某驱动代码:
ThreadHook proc
pushad
mov eax,dword ptr [esp+18h+20h]
cmp byte ptr [eax-4],65h ;tessafe 'e'== 65h
jne @F
cli
mov eax, cr0
and eax,0fffeffffh
mov cr0, eax
mov eax,dword ptr [esp+18h+20h]
mov threadproc,eax
mov ecx,eax
and ecx,0ffh;取TX驱动地址最后一个byte
------------
ThreadHook是在系统PsCreateSystemThread地方Hook跳过来的 :
pushad
之后 栈里应该是这样:
esp+20h call PsCreateSystemThread的返回地址
esp+20h+4 PsCreateSystemThread函数第一个参数
esp+20h+18h PsCreateSystemThread函数第六个参数,也就是StartRoutine的地址
cmp byte ptr [eax-4],65h ;tessafe 'e'== 65h
这句就整不明白了
希望得到朋友们指点!
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!