隐藏inlinehook已经不是新鲜招数了，因为我们有隐藏更彻底的hook，木有ark能扫得到，so，这个老技术是时候解封了。

第一种老V已经说了，poolhack~吖把我正在用的方法给公布了，鄙视下 传送门：http://bbs.pediy.com/showthread.php?t=152884

第二种也是老v发布的http://bbs.pediy.com/showthread.php?t=154384

其实就是hook MmIsAddressValid（肯定会有N多人鄙视我了。）

//适用：gmer，rku，KD
BOOLEAN __stdcall NewMmIsAddressValid(
	__in PVOID VirtualAddress
	)
{
	MMISADDRESSVALID OldMmIsAddressValid;
	PEPROCESS EProcess;
	char *ProName = NULL;

	__try{
		if (KeGetCurrentIrql() != PASSIVE_LEVEL){
			__leave;
		}
		EProcess = PsGetCurrentProcess();
		ProName = PsGetProcessImageFileName(EProcess);
		if (!ProName){
			__leave;
		}
		if (strstr(ProName,"123123.exe") != 0)
		{
			KdPrint(("%s -> %08x\n",ProName,VirtualAddress));

			//
			if (VirtualAddress == 0x80511000 ||
				VirtualAddress == 0x805c8000)
			{
				return FALSE;
			}
		}
	}
	__except(EXCEPTION_EXECUTE_HANDLER){
		goto _FuncRet;
	}
_FuncRet:
	OldMmIsAddressValid = (MMISADDRESSVALID)MmIsAddressValidHookZone;
	return OldMmIsAddressValid(VirtualAddress);
}

__inline ULONG CR4()
{
	// mov eax, cr4
	__asm _emit 0x0F __asm _emit 0x20 __asm _emit 0xE0
}

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！