-
-
[求助]Inline Hook NtOpenProcess虚拟机正常，本地蓝屏
-
发表于: 2012-12-30 23:51
-
各位大牛帮忙看看，搞了好久，实在没辙了
在虚拟机里边跑的佷正常，在本地运行几十秒就BSOD，Hook的过程没问题，
Hook的处理函数代码缩减再缩减，只剩下简单的处理和跳转了，请大牛们帮忙指导一下
方法：Hook NtOpenProcess 中call ObOpenObjectByPointer前几个字节
1、Hook前：
2、Hook后：
3、Hook代码只是简单的处理和跳转(第2步的call F8ABC8D0)：
__declspec(naked)
VOID NtOpenProcessDeepInlineHook()
{
__asm
{
pop ecx //得到call之后的返回地址，ecx是看了上下文后挑选的
push [ebp-38] //实现原本被hook掉的两个push
push [ebp-24]
add ecx, 1 //计算返回地址（也就是图中的0x805cc620）
push ecx
ret
}
}
整个函数其实什么都没做，只是绕个圈回去了
在虚拟机里边跑的佷正常，在本地运行几十秒就BSOD，Hook的过程没问题，
Hook的处理函数代码缩减再缩减，只剩下简单的处理和跳转了，请大牛们帮忙指导一下
方法：Hook NtOpenProcess 中call ObOpenObjectByPointer前几个字节
1、Hook前：
2、Hook后：
3、Hook代码只是简单的处理和跳转(第2步的call F8ABC8D0)：
__declspec(naked)
VOID NtOpenProcessDeepInlineHook()
{
__asm
{
pop ecx //得到call之后的返回地址，ecx是看了上下文后挑选的
push [ebp-38] //实现原本被hook掉的两个push
push [ebp-24]
add ecx, 1 //计算返回地址（也就是图中的0x805cc620）
push ecx
ret
}
}
整个函数其实什么都没做，只是绕个圈回去了
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
[QUOTE=xhflovemy;1129797]dump有分析过，code是一样的
NtOpenProcess Hook部分： 0: kd> u nt!NtOpenProcess+0x217: 808f4613 8d8548ffffff lea eax,[ebp-0B8h] 808f4619 50 ...[/QUOTE] 多谢提醒，没太注意，两个push真的不一样
|
|
|
|
|
|
|
|
|
|
