[原创]重载内核之二接管流程
发表于:
2014-5-17 07:53
重载内核的相关文章实在是太多了，鉴于还是有很多初学者研究这一块，本文仅作为一个引导作用，文笔不好，见谅。
mov esi, edx ; (esi)->User arguments
mov ebx, [edi]+SdNumber ; get argument table address
xor ecx, ecx
mov cl, byte ptr [ebx+eax] ; (ecx) = argument size
mov edi, [edi]+SdBase ; get service table address
mov ebx, [edi+eax*4] ; (ebx)-> service routine
sub esp, ecx ; allocate space for arguments
shr ecx, 2 ; (ecx) = number of argument DWORDs
mov edi, esp ; (edi)->location to receive 1st arg
//省略部分代码
call ebx ; call system service
PVOID __declspec(naked) _GetKiFastCallEntryAddress()
{
__asm
{
MOV ECX, 0x00000176;
RDMSR;
RETN;
}
}
PVOID FindHookKiFastCallEntryAddress(PVOID lpKiFastCallEntry)
{
/*
sub esp, ecx
shr ecx, 2
mov edi, esp
*/
UCHAR HookBytes[] = {0x2B, 0xE1, 0xC1, 0xE9, 0x02, 0x8B, 0xFC};
return RtlFindMemory(lpKiFastCallEntry, 0x300, HookBytes, sizeof(HookBytes));
}
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
上传的附件：
打住，不说了，感觉说太多了，第一次技术性的问题说了这么多，回家该打屁股了。少说，多做，且做且珍惜！
