[原创]NDIS6 X86通用hook代码-编程技术-看雪-安全社区|安全招聘|kanxue.com

[原创]NDIS6 X86通用hook代码

发表于: 2011-11-29 10:07 20823

[原创]NDIS6 X86通用hook代码

boywhp

2011-11-29 10:07

20823

原理参见http://www.opscn.com/index.php?action=vthread&forum=1&topic=15

登录后可查看完整内容

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

上传的附件：

ndis6_hook.rar （103.30kb，388次下载）
screen-shot.JPG （112.76kb，742次下载）

收藏・17

免费・6

支持

最新回复 (20)
MagicFuzzX 雪币： 12 活跃值： (773) 能力值： ( LV2，RANK：10 ) 在线值：发帖 38 回帖 400 粉丝 1 关注私信	MagicFuzzX 2 楼膜拜下，这方面的资料好少啊，据说NDIS比文件过滤系统更复杂 2011-11-29 10:22 0
邓韬雪币： 278 活跃值： (709) 能力值： ( LV15，RANK：520 ) 在线值：发帖 265 回帖 1670 粉丝 1 关注私信	邓韬 9 3 楼不懂，楼主上面是什么开发环境“？ 2011-11-29 10:28 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 4 楼是比较少，所以我就发出来，希望给大家一些帮助，当然用正规的filter驱动应该比较正统不过hook不需要inf什么乱七八糟的，而且指针替换，应该X64都是可以跑，稍微改改即可 2011-11-29 10:28 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 5 楼 http://bbs.pediy.com/showthread.php?t=141890 VIM编辑器，因为我linux用这个，所以比较顺手一点，VC6老是有一些问题，报什么srb文件错误，BSCMAKE错误，导致无法查看定义，火大ing！ 2011-11-29 10:32 0
crazybug 雪币： 12 活跃值： (605) 能力值： ( LV6，RANK：90 ) 在线值：发帖 14 回帖 112 粉丝 0 关注私信	crazybug 2 6 楼发一个我写的~ http://www.vxjump.net/files/security_research/ndis_hook.txt 2011-11-29 12:01 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 7 楼看了下，站点不错哦～，不过你那没有技术细节，而且感觉不怎么通用，实际上ndis6数据结构还是有很多变化的，能上代码吗？ 2011-11-29 12:18 0
crazybug 雪币： 12 活跃值： (605) 能力值： ( LV6，RANK：90 ) 在线值：发帖 14 回帖 112 粉丝 0 关注私信	crazybug 2 8 楼恩 NDIS6的数据结构是跟5不一样我讲了HOOK和MINIPORT HOOK两种~ 里面讲到的几种都方法已经在实际产品里大范围使用了~ 除了没有代码，我觉得熟悉NDIS的人应该可以看懂我说的东西 2011-11-29 12:59 0
morning 雪币： 367 活跃值： (20) 能力值： ( LV5，RANK：70 ) 在线值：发帖 36 回帖 494 粉丝 3 关注私信	morning 1 9 楼很多时候,hook 比写 filter省事 2011-11-29 13:37 0
长风傲天雪币： 67 活跃值： (91) 能力值： ( LV6，RANK：80 ) 在线值：发帖 12 回帖 110 粉丝 3 关注私信	长风傲天 1 10 楼 NDIS里，用IMD，filter的是普通青年，用inline hook的是文艺青年，用指针替换的是.... 介个，你懂的 2011-12-1 18:03 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 11 楼 inlinehook 无法在X64上面跑，而且如果大家都用IMD，filter的话，指针替换反而很安全的说 object hook流不就是指针替换吗？哈哈，我不懂 2011-12-1 19:27 0
长风傲天雪币： 67 活跃值： (91) 能力值： ( LV6，RANK：80 ) 在线值：发帖 12 回帖 110 粉丝 3 关注私信	长风傲天 1 12 楼把PG爆菊了不就好啦~~ 2011-12-1 22:44 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 13 楼这个基本上才是第三类青年干的。。。噢，你懂的 2011-12-2 08:07 0
yboy 雪币： 129 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 103 粉丝 0 关注私信	yboy 14 楼学习 2011-12-4 19:57 0
PEBOSS 雪币： 33 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 144 回帖 856 粉丝 0 关注私信	PEBOSS 15 楼 opencn 自己的论坛,自己一个人玩啊 2011-12-4 23:13 0
cherryEx 雪币： 128 活跃值： (27) 能力值： ( LV5，RANK：60 ) 在线值：发帖 11 回帖 195 粉丝 0 关注私信	cherryEx 1 16 楼我也这么认为 2011-12-4 23:20 0
trkzrq 雪币： 280 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 125 粉丝 0 关注私信	trkzrq 17 楼路过，看看热闹。 2011-12-5 01:29 0
peaceclub 雪币： 255 活跃值： (207) 能力值： ( LV9，RANK：250 ) 在线值：发帖 59 回帖 967 粉丝 1 关注私信	peaceclub 6 18 楼 + 8 + 0x16c 看到这些常数，我就担心到跨操作系统版本的通用性，能用微软结构尽量用，不要直接偏移。 2011-12-5 08:26 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 19 楼这个是X86下的，由于我完全没有64的签名，所以就没有处理64位的了， + 0x16c 在目前NDIS6各个版本下都是一样的，这个数据结构没有公开，当然可以自己声明一个，不过这个数据结构比较大，考虑到简洁一点，就直接硬编码了，但是理论上修改成X64的代码应该改动不多。0x16c要修改下，还有那个搜索函数要修改下 2011-12-5 10:45 0
cherryEx 雪币： 128 活跃值： (27) 能力值： ( LV5，RANK：60 ) 在线值：发帖 11 回帖 195 粉丝 0 关注私信	cherryEx 1 20 楼有点代码可读性的问题，鄙人是这么做的这些偏移专门放一个地方 #ifdef _WIN64 #define _OPEN_BLOCK_xxx_Offset 0x??? #else #define _OPEN_BLOCK_xxx_Offset 0x16c #endif 2011-12-5 11:35 0
OnlyLoveMM 雪币： 51 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 73 粉丝 0 关注私信	OnlyLoveMM 21 楼这个真可以吗？ 2011-12-6 09:46 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

boywhp

发帖

595

回帖

750

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (20)
MagicFuzzX 雪币： 12 活跃值： (773) 能力值： ( LV2，RANK：10 ) 在线值：发帖 38 回帖 400 粉丝 1 关注私信	MagicFuzzX 2 楼膜拜下，这方面的资料好少啊，据说NDIS比文件过滤系统更复杂 2011-11-29 10:22 0
邓韬雪币： 278 活跃值： (709) 能力值： ( LV15，RANK：520 ) 在线值：发帖 265 回帖 1670 粉丝 1 关注私信	邓韬 9 3 楼不懂，楼主上面是什么开发环境“？ 2011-11-29 10:28 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 4 楼是比较少，所以我就发出来，希望给大家一些帮助，当然用正规的filter驱动应该比较正统不过hook不需要inf什么乱七八糟的，而且指针替换，应该X64都是可以跑，稍微改改即可 2011-11-29 10:28 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 5 楼 http://bbs.pediy.com/showthread.php?t=141890 VIM编辑器，因为我linux用这个，所以比较顺手一点，VC6老是有一些问题，报什么srb文件错误，BSCMAKE错误，导致无法查看定义，火大ing！ 2011-11-29 10:32 0
crazybug 雪币： 12 活跃值： (605) 能力值： ( LV6，RANK：90 ) 在线值：发帖 14 回帖 112 粉丝 0 关注私信	crazybug 2 6 楼发一个我写的~ http://www.vxjump.net/files/security_research/ndis_hook.txt 2011-11-29 12:01 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 7 楼看了下，站点不错哦～，不过你那没有技术细节，而且感觉不怎么通用，实际上ndis6数据结构还是有很多变化的，能上代码吗？ 2011-11-29 12:18 0
crazybug 雪币： 12 活跃值： (605) 能力值： ( LV6，RANK：90 ) 在线值：发帖 14 回帖 112 粉丝 0 关注私信	crazybug 2 8 楼恩 NDIS6的数据结构是跟5不一样我讲了HOOK和MINIPORT HOOK两种~ 里面讲到的几种都方法已经在实际产品里大范围使用了~ 除了没有代码，我觉得熟悉NDIS的人应该可以看懂我说的东西 2011-11-29 12:59 0
morning 雪币： 367 活跃值： (20) 能力值： ( LV5，RANK：70 ) 在线值：发帖 36 回帖 494 粉丝 3 关注私信	morning 1 9 楼很多时候,hook 比写 filter省事 2011-11-29 13:37 0
长风傲天雪币： 67 活跃值： (91) 能力值： ( LV6，RANK：80 ) 在线值：发帖 12 回帖 110 粉丝 3 关注私信	长风傲天 1 10 楼 NDIS里，用IMD，filter的是普通青年，用inline hook的是文艺青年，用指针替换的是.... 介个，你懂的 2011-12-1 18:03 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 11 楼 inlinehook 无法在X64上面跑，而且如果大家都用IMD，filter的话，指针替换反而很安全的说 object hook流不就是指针替换吗？哈哈，我不懂 2011-12-1 19:27 0
长风傲天雪币： 67 活跃值： (91) 能力值： ( LV6，RANK：80 ) 在线值：发帖 12 回帖 110 粉丝 3 关注私信	长风傲天 1 12 楼把PG爆菊了不就好啦~~ 2011-12-1 22:44 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 13 楼这个基本上才是第三类青年干的。。。噢，你懂的 2011-12-2 08:07 0
yboy 雪币： 129 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 103 粉丝 0 关注私信	yboy 14 楼学习 2011-12-4 19:57 0
PEBOSS 雪币： 33 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 144 回帖 856 粉丝 0 关注私信	PEBOSS 15 楼 opencn 自己的论坛,自己一个人玩啊 2011-12-4 23:13 0
cherryEx 雪币： 128 活跃值： (27) 能力值： ( LV5，RANK：60 ) 在线值：发帖 11 回帖 195 粉丝 0 关注私信	cherryEx 1 16 楼我也这么认为 2011-12-4 23:20 0
trkzrq 雪币： 280 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 125 粉丝 0 关注私信	trkzrq 17 楼路过，看看热闹。 2011-12-5 01:29 0
peaceclub 雪币： 255 活跃值： (207) 能力值： ( LV9，RANK：250 ) 在线值：发帖 59 回帖 967 粉丝 1 关注私信	peaceclub 6 18 楼 + 8 + 0x16c 看到这些常数，我就担心到跨操作系统版本的通用性，能用微软结构尽量用，不要直接偏移。 2011-12-5 08:26 0
boywhp 雪币： 1233 活跃值： (907) 能力值： ( LV12，RANK：750 ) 在线值：发帖 98 回帖 595 粉丝 26 关注私信	boywhp 12 19 楼这个是X86下的，由于我完全没有64的签名，所以就没有处理64位的了， + 0x16c 在目前NDIS6各个版本下都是一样的，这个数据结构没有公开，当然可以自己声明一个，不过这个数据结构比较大，考虑到简洁一点，就直接硬编码了，但是理论上修改成X64的代码应该改动不多。0x16c要修改下，还有那个搜索函数要修改下 2011-12-5 10:45 0
cherryEx 雪币： 128 活跃值： (27) 能力值： ( LV5，RANK：60 ) 在线值：发帖 11 回帖 195 粉丝 0 关注私信	cherryEx 1 20 楼有点代码可读性的问题，鄙人是这么做的这些偏移专门放一个地方 #ifdef _WIN64 #define _OPEN_BLOCK_xxx_Offset 0x??? #else #define _OPEN_BLOCK_xxx_Offset 0x16c #endif 2011-12-5 11:35 0
OnlyLoveMM 雪币： 51 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 73 粉丝 0 关注私信	OnlyLoveMM 21 楼这个真可以吗？ 2011-12-6 09:46 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复