-
-
[旧帖]
[求助]关于替换系统DLL，内核调试等
0.00雪花
-
发表于:
2012-9-28 01:45
1257
-
[旧帖] [求助]关于替换系统DLL，内核调试等
0.00雪花
最近写了一个HookUser32，没什么特别，跟系统的user32的导出函数一致，就是HookUser32里的MessageBoxW_Hook里会调用user32的MessageBoxW，唯一增加的就是在在调用前后都会 打印一些信息到log里。HookUser32里的DllMain会把user32 loadLibraray进来。
我把 生成的HookUser32改成user32，也修改它的导出函数名跟user32一致。替换虚拟机xp系统里的user32，出现蓝屏后会重启，错误代码是：C0000135
我用windbg调，得到的bugcheck也是C0000135，我查看了一些资料，C0000135是直DLL_NOT_FOULD，大概就是找不到dll的意思。
问题来了，系统在启动的时候会加载dll，而加载user32是由ntdll来完成的，这个dll都是用户态。而当我替换了user32后，用windbg调的时候，在nt中就断下来了，断在内核态。我想知道，系统启动时，加载user32时，会对user32进行一些什么样的检查。
从哪方面入手，有什么书籍可以参考的。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
