-
-
[旧帖]
XP下如何Hook PspCreateThread
0.00雪花
-
发表于:
2014-1-23 17:23
5632
-
[旧帖] XP下如何Hook PspCreateThread
0.00雪花
[QUOTE][/QUOTE]我先SSDT Hook得到NtCreateThread,NtCreateThreadAddr = KeServiceDescriptorTable.ServiceTableBase[0x35];
然后通过
UCHAR code1[29] = "\x52\x52\xff\x75\x24\x8d\x45\xc8\x50\xff\x75\x1c\xff\x75\x18\x52\xff\x75\x14\xff\x75\x10\xff\x75\x0c\xff\x75\x08\xe8";
for (i = 0; i < 0x1000; i ++)
{
if (memcmp((PVOID)(NtCreateThreadAddr + i),code1,29) == 0)
{
PspCreateThreadAddr = NtCreateThreadAddr + i + 29;
PspCreateThreadAddr = PspCreateThreadAddr + 4 + *(PULONG)PspCreateThreadAddr ;
KdPrint(("PspCreateThreadAddr = 0x%.8X\r\n",PspCreateThreadAddr ));//这句话没有打印出来
break;
}
}
结果无法得到。
[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)