|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
主要是我考虑到可能R3的钩子很容易被恢复。
本来准备shadow SSDT HOOK NtGdiStartDoc enddoc startpage 大部分是可以的。但是发现某些情况比如不用EMF格式这种情况下打印不经过这些函数，所以作废了。也许真的R3下做是最好的了  。如果兄台R0下有好的办法 还望不吝赐教啊
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
还存在虚拟打印机，直接打成PDF保存的，不通过物理硬件。
|
|
|
恩。还是决定R3做了，要不是WIN8 X64没法SHADOW SSDT HOOK，就直接分析LPC了
 ，现在要换到R3做通讯和数据分析了。主要是想拿到打印的进程，文件信息和的打印的数据。
|
