首页
社区
课程
招聘
[求助]Win7下HS NtSet/GetContextThread 的問題
发表于: 2013-8-10 16:10 6869

[求助]Win7下HS NtSet/GetContextThread 的問題

2013-8-10 16:10
6869
最近在搞對抗HS Driver
因為HS 是對 Call 進行Hook
所以我的處理方法是 在FakeCall的上面Jmp到我自己的真實Call 在跳轉回去FakeCall的下一行
這方法在Win7下對NtOpenProcess,NtReadVirtualMemory等等都有效

但對NtSet/GetContextThread 這2個API就會出現問題
單一對一個進行處理 在Win7下
使用CE的 Kernelmode Debug 用沒多久就會出現BSOD (Debug可以正常使用)
但在Xp下不管用多久都不會BSOD
(確定跳轉點.Call的地址都沒問題)
想請問各路大神,稍微指點一下問題出在哪或是Win7下有特別的機制需要額外處理?

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (3)
雪    币: 110
活跃值: (34)
能力值: (RANK:50 )
在线值:
发帖
回帖
粉丝
2
Windows NT6.0开始nt!NtSetContextThread(Get也一样)是个桩函数,其会去调用PsSetContextThread
另外……LZ的CE本身处理过了所以不会被发现么
2013-8-10 17:36
0
雪    币: 19
活跃值: (25)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
3
本身處理過呵呵,現在主要是都繞過了可是 是用Debug一段時間後就會藍 ,Xp就不會這樣
2013-8-11 14:57
0
雪    币: 19
活跃值: (25)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
4
目前查出是IRQL_NOT_LESS_OR_EQUAL的問題 感謝回復 小弟在努力
2013-8-12 00:05
0
游客
登录 | 注册 方可回帖
返回
//