[原创]对WriteFile全面Hook-编程技术-看雪-安全社区|安全招聘|kanxue.com

最新回复 (13)
exile 雪币： 2105 活跃值： (424) 能力值： ( LV4，RANK：50 ) 在线值：发帖 21 回帖 1266 粉丝 2 关注私信	exile 1 2 楼 ntdll!ZwWriteFile 2012-2-3 19:46 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 3 楼 ZwWriteFile 好像是内核态才可以用的？我这里只hook应用层的 2012-2-3 19:54 0
exile 雪币： 2105 活跃值： (424) 能力值： ( LV4，RANK：50 ) 在线值：发帖 21 回帖 1266 粉丝 2 关注私信	exile 1 4 楼谁说ZwWriteFile就是内核的 ntdll里面不是还有个ZwWriteFile 2012-2-3 19:57 0
zgyknight 雪币： 2 活跃值： (199) 能力值： ( LV2，RANK：10 ) 在线值：发帖 31 回帖 194 粉丝 0 关注私信	zgyknight 5 楼 mark!! 2012-2-3 20:04 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 6 楼查了一下ntdll的导出函数，确实有ZwWriteFile，感激上传的附件： QQ截图20120203201258.png （3.77kb，89次下载） 2012-2-3 20:15 0
exile 雪币： 2105 活跃值： (424) 能力值： ( LV4，RANK：50 ) 在线值：发帖 21 回帖 1266 粉丝 2 关注私信	exile 1 7 楼 hook 的时候先用OD看看每个函数最终会调用最底层的函数是什么然后HOOK之 2012-2-3 20:17 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 8 楼大神最底层指的是内核态吗 2012-2-3 20:19 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 9 楼上面那个代码对于c语言库的fwrite没作用，fwrite这个函数hook不了吗？ 2012-2-3 20:21 0
cntrump 雪币： 1708 活跃值： (586) 能力值： ( LV15，RANK：670 ) 在线值：发帖 204 回帖 2062 粉丝 19 关注私信	cntrump 13 10 楼正解，可以拦截到很多了。 2012-2-3 22:14 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 11 楼 fwrite这个怎么hook 2012-2-3 22:26 0
广海混沌雪币： 220 活跃值： (15) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 272 粉丝 1 关注私信	广海混沌 12 楼呵呵不错不错 2012-2-3 22:50 0
天涯一鸿雪币： 1040 活跃值： (1293) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 440 粉丝 1 关注私信	天涯一鸿 13 楼 fwirte没调用Zw(Nt)WriteFile？用OD跟一下…… 2012-2-3 23:05 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 14 楼这样说，所有的写操作在应用层都可以hook到，只要找到最底层的函数就行吗？ 2012-2-3 23:31 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (13)
exile 雪币： 2105 活跃值： (424) 能力值： ( LV4，RANK：50 ) 在线值：发帖 21 回帖 1266 粉丝 2 关注私信	exile 1 2 楼 ntdll!ZwWriteFile 2012-2-3 19:46 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 3 楼 ZwWriteFile 好像是内核态才可以用的？我这里只hook应用层的 2012-2-3 19:54 0
exile 雪币： 2105 活跃值： (424) 能力值： ( LV4，RANK：50 ) 在线值：发帖 21 回帖 1266 粉丝 2 关注私信	exile 1 4 楼谁说ZwWriteFile就是内核的 ntdll里面不是还有个ZwWriteFile 2012-2-3 19:57 0
zgyknight 雪币： 2 活跃值： (199) 能力值： ( LV2，RANK：10 ) 在线值：发帖 31 回帖 194 粉丝 0 关注私信	zgyknight 5 楼 mark!! 2012-2-3 20:04 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 6 楼查了一下ntdll的导出函数，确实有ZwWriteFile，感激上传的附件： QQ截图20120203201258.png （3.77kb，89次下载） 2012-2-3 20:15 0
exile 雪币： 2105 活跃值： (424) 能力值： ( LV4，RANK：50 ) 在线值：发帖 21 回帖 1266 粉丝 2 关注私信	exile 1 7 楼 hook 的时候先用OD看看每个函数最终会调用最底层的函数是什么然后HOOK之 2012-2-3 20:17 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 8 楼大神最底层指的是内核态吗 2012-2-3 20:19 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 9 楼上面那个代码对于c语言库的fwrite没作用，fwrite这个函数hook不了吗？ 2012-2-3 20:21 0
cntrump 雪币： 1708 活跃值： (586) 能力值： ( LV15，RANK：670 ) 在线值：发帖 204 回帖 2062 粉丝 19 关注私信	cntrump 13 10 楼正解，可以拦截到很多了。 2012-2-3 22:14 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 11 楼 fwrite这个怎么hook 2012-2-3 22:26 0
广海混沌雪币： 220 活跃值： (15) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 272 粉丝 1 关注私信	广海混沌 12 楼呵呵不错不错 2012-2-3 22:50 0
天涯一鸿雪币： 1040 活跃值： (1293) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 440 粉丝 1 关注私信	天涯一鸿 13 楼 fwirte没调用Zw(Nt)WriteFile？用OD跟一下…… 2012-2-3 23:05 0
zhxfl 雪币： 145 活跃值： (105) 能力值： ( LV7，RANK：110 ) 在线值：发帖 33 回帖 108 粉丝 1 关注私信	zhxfl 2 14 楼这样说，所有的写操作在应用层都可以hook到，只要找到最底层的函数就行吗？ 2012-2-3 23:31 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复