能力值：
( LV2，RANK：10 )
|
-
-
126 楼
果断mark一下
|
能力值：
( LV2，RANK：10 )
|
-
-
127 楼
0.00.0.0
|
能力值：
( LV2，RANK：10 )
|
-
-
128 楼
Mark好文章
|
能力值：
( LV2，RANK：10 )
|
-
-
129 楼
顶楼主学习态度！
|
能力值：
( LV2，RANK：10 )
|
-
-
130 楼
mark 学习一下
|
能力值：
( LV2，RANK：10 )
|
-
-
131 楼
初学内核宠爱的好资料
|
能力值：
( LV2，RANK：10 )
|
-
-
132 楼
Win7 64下的ssdt需要你动态获取，它没有导出，不能向XP下那样直接使用，函数地址也有点变化，看一下win7下的ssdt hook就能明了了
|
能力值：
( LV2，RANK：10 )
|
-
-
133 楼
先收藏再说吧
|
能力值：
( LV4，RANK：45 )
|
-
-
134 楼
不是64位的 是32位的 不可以。
函数地址能找到，但是问题是后面的出现错误
|
能力值：
( LV3，RANK：20 )
|
-
-
135 楼
其实 楼主不用做SSDT HOOK来找KiFastCallEntry 你这样 好累.......
直接读取MSR寄存器 这里面就是KiFastCallEntry的地址啊
mov ecx, 0x176
rdmsr
mov FunctionAddress, eax
|
能力值：
( LV3，RANK：20 )
|
-
-
136 楼
这里应该只是计算出SSDT表的位置即可 楼主可能是用词不对吧
|
能力值：
( LV3，RANK：20 )
|
-
-
137 楼
mark~~
|
能力值：
( LV2，RANK：10 )
|
-
-
138 楼
mark
|
能力值：
( LV2，RANK：10 )
|
-
-
139 楼
请问用DriverMonitor加载出现 The imagePath specified in drive's service database entry is incorrect,or the fule is missing 该怎么解决呀
|
能力值：
( LV2，RANK：10 )
|
-
-
140 楼
收藏一下，正在啃
|
能力值：
( LV2，RANK：10 )
|
-
-
141 楼
才看到
这个很厉害
|
能力值：
( LV2，RANK：10 )
|
-
-
142 楼
请问，为什么要修改堆栈里面的值呢？
call display
//再返回前修改堆栈里的数据
mov [esp+0x14],eax
并没有看到中间有任何修改ebx的值。。。那么为什么结果，call ebx的结果还是新内核呢
|
能力值：
( LV4，RANK：50 )
|
-
-
143 楼
标记一下，学习学习
|
能力值：
( LV12，RANK：400 )
|
-
-
144 楼
[QUOTE=嘘！安静;1333751]请问，为什么要修改堆栈里面的值呢？
call display
//再返回前修改堆栈里的数据
mov [esp+0x14],eax
并没有看到中间有任何修改ebx的值。。。那么为什么结果，call ebx的结果还是新内核呢[/QUOTE]
这个跟堆栈有关哦，esp就是堆栈指针，+0x14就是指向ebx的。好久没碰了，呵呵。
|
能力值：
( LV2，RANK：10 )
|
-
-
145 楼
mark下
|
能力值：
( LV2，RANK：10 )
|
-
-
146 楼
好像看懂了！回头试试 
|
能力值：
( LV2，RANK：10 )
|
-
-
147 楼
基址重定位那里有疑问,偏移量应该是镜像在内存中的地址-PE文件基址,也就是新内核Image地址-OptionalHeader.ImageBase啊,代码里却是OrigImage-OriginalImageBase,也就是旧内核基址-OrigImage-OriginalImageBase???
|
能力值：
( LV2，RANK：10 )
|
-
-
148 楼
这个贴子，不能沉
|
能力值：
( LV2，RANK：10 )
|
-
-
149 楼
看来我要从2013年开始学起了。。落后的太多了。···
|
能力值：
( LV2，RANK：10 )
|
-
-
150 楼
你这个HOOK KiFastCallEntry的方法貌似有点问题啊，是通过调用NtOpenProcess，然后堆栈回朔HookKiFastCallEntry 的， 但是如果TP也HOOK了NtOpenProcess了呢？
|
|
|
|
