-
-
[求助]IDT HOOK 问题，请大家帮忙。
-
发表于: 2013-2-27 00:07
-
1.在虚拟机里面跑，只要下断点调试就死机。不知道为什么。我只对相应的 进程ID进行保护。
经过分析，发现 是这句 pEprocess = PsGetCurrentProcess(); 意思是只要调用 PsGetCurrentProcess ，电脑就挂了。下面也用汇编写了下。还是不行。不知道哪里出问题了，还请过 大牛抽空帮忙看下。 小弟初学不久，还请勿喷。。
2.发现用虚拟机调试模式进入，然后HOOK Int 3 。发现 pEprocess = PsGetCurrentProcess(); 这一句这 会有个Int 3（0xCC）断点，不知道是否跟WinDbg调试有关？ 用汇编 mov eax,PsGetCurrentProcess; 也不行。 然后我不用调试模式进入系统 就不会出现这样的问题。
还请大家帮忙呀，在此谢过啦。
ps：如果发错版块，还请版主帮忙移动。谢谢。
//安装Hook的函数
经过分析，发现 是这句 pEprocess = PsGetCurrentProcess(); 意思是只要调用 PsGetCurrentProcess ，电脑就挂了。下面也用汇编写了下。还是不行。不知道哪里出问题了，还请过 大牛抽空帮忙看下。 小弟初学不久，还请勿喷。。
2.发现用虚拟机调试模式进入，然后HOOK Int 3 。发现 pEprocess = PsGetCurrentProcess(); 这一句这 会有个Int 3（0xCC）断点，不知道是否跟WinDbg调试有关？ 用汇编 mov eax,PsGetCurrentProcess; 也不行。 然后我不用调试模式进入系统 就不会出现这样的问题。
还请大家帮忙呀，在此谢过啦。
ps：如果发错版块，还请版主帮忙移动。谢谢。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 | #pragma PAGEDCODEvoid _naked JmpIdtInt3(){ __asm { push 0x00; mov word ptr [esp+2],0; jmp g_ulIdtInt3_9; }}#pragma PAGEDCODE void _naked NewIdtInt3() { __asm { pushad; pushfd; } /* PEPROCESS pEprocess; pEprocess = PsGetCurrentProcess(); //KdPrint(("Current Process Name --:%s-- \n",(PTSTR)((ULONG)pEprocess+0x174))); if ( g_hPid != (HANDLE)-1/ * && *(HANDLE *)((ULONG)pEprocess+0x84) == g_hPid* /) { __asm { popfd; popad; } __asm iretd; } */ /* __asm { mov eax,PsGetCurrentProcess call eax; mov eax,[eax+0x84]; cmp eax,g_hPid; jne __label; popfd; popad; iretd;__label: } */ __asm { popfd; popad; } __asm jmp JmpIdtInt3;} |
//安装Hook的函数
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 | #pragma PAGEDCODEvoid HookIdtInt3(){ KdPrint(("->HookIDTInt3 !")); ULONG ulIdtInt3 = (ULONG)ReadIdtAddress(3); if (ulIdtInt3 == 0) return; g_ulIdtInt3_9 = ulIdtInt3 + 0x9; REMOVE_PROTECT __try { RtlCopyMemory(&JmpIdtInt3,(PVOID)ulIdtInt3,0x9); } __except(EXCEPTION_EXECUTE_HANDLER) { KdPrint(("->RtlCopyMemory Failed !")); } __try { ((PJmpCode)ulIdtInt3)->bE9 = 0xE9; ((PJmpCode)ulIdtInt3)->ulAddress = (ULONG)(&NewIdtInt3)-ulIdtInt3-0x5; } __except(EXCEPTION_EXECUTE_HANDLER) { KdPrint(("->Write Jmp !")); } RECOVER_PROTECT}#pragma PAGEDCODEvoid UnHookIdtInt3(){ KdPrint(("->UnHookIDTInt3 !")); ULONG ulIdtInt3 = (ULONG)ReadIdtAddress(3); if (ulIdtInt3 == 0) return; REMOVE_PROTECT __try { RtlCopyMemory((PVOID)ulIdtInt3,&JmpIdtInt3,0x9); } __except(EXCEPTION_EXECUTE_HANDLER) { KdPrint(("->RtlCopyMemory Failed !")); }} |
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
