首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [求助]小白提问!如何获得被Hook之前的指令 0.00雪花
发表于: 2013-6-15 13:28 1447

[旧帖] [求助]小白提问!如何获得被Hook之前的指令 0.00雪花

wantsee 活跃值
2013-6-15 13:28
1447
如题,假设一个内核函数(在ntkrnlpa.exe中)前5个字节被Hook了,现在想要将其恢复,那如何获得恢复之前的指令呢,我知道可以使用硬编码,但是这种方法通用性不好,在不同的操作系统之间不可移植,请问高手如何动态的在程序中读到Hook之前的代码呢?

[课程]Linux pwn 探索篇！

收藏
免费 ・0
支持
分享
最新回复 (3)
黑色刺客
雪    币： 0
活跃值： (309)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
获取相对偏移,然后用文件映射一个新的ntkrnlpa.exe,然后就然后了
2013-6-15 14:04
0
wantsee
雪    币： 4
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
恩 谢楼上,能不能具体说说用什么API映射,本人小白,呵呵
2013-6-15 14:16
0
linziqingl
雪    币： 267
活跃值： (438)
能力值： ( LV9，RANK：190 )
在线值：
发帖
回帖
粉丝
私信
4 楼
你可以先获取ntkrnlpa.exe的基地址，然后计算出可能被下Hook的RVA,接下来读取文件ntkrnlpa.exe分析出可能被下Hook的RVA的机器码是否一样？但是如果这个RVA是有处于重定位处，那你在机器码对比之前需要模拟ntkrnlpa.exe的基地址进行机器码修改后再做比较
2013-6-15 14:27
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//