[求助]关于inline hook的一个疑问-编程技术-看雪-安全社区|安全招聘|kanxue.com

最新回复 (8)
IamHuskar 雪币： 1392 活跃值： (5107) 能力值： ( LV13，RANK：240 ) 在线值：发帖 76 回帖 1659 粉丝 67 关注私信	IamHuskar 4 2 楼主要是保证memcpy的时候不会被切换或者中断想想如果memcpy5字节完成了前面4字节的拷贝还有最后一字节没有拷贝。此时发生了线程切换。恰好该线程执行了你正在修改的数据，此时你拷贝还没完成。蓝屏就发生了。 2015-4-21 10:26 0
IamHuskar 雪币： 1392 活跃值： (5107) 能力值： ( LV13，RANK：240 ) 在线值：发帖 76 回帖 1659 粉丝 67 关注私信	IamHuskar 4 3 楼不过多核心多字节还是可能有问题，其他核心不跟你旋怎么办？ 2015-4-21 10:38 0
darrin 雪币： 27 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 26 粉丝 1 关注私信	darrin 4 楼使用这个KeRaiseIrqlToDpcLevel();是不是会更好点 2015-4-21 10:44 0
IamHuskar 雪币： 1392 活跃值： (5107) 能力值： ( LV13，RANK：240 ) 在线值：发帖 76 回帖 1659 粉丝 67 关注私信	IamHuskar 4 5 楼这个本身就是提升到DISPATCH_LEVEL 效果和前面的文档keAcquireSpinLock效果是一样的。重点是你只提升了当前的CPU到DISPATCH_LEVEL，多核别的CPU还是可能执行到你的函数这里蓝屏。最好的办法是选取4字节或者8字节的HOOK点。调用InterLocked系列函数完成原子操作。 2015-4-21 10:55 0
SdKfz 雪币： 1 活跃值： (1174) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 81 粉丝 2 关注私信	SdKfz 6 楼用IPI将其它CPU先挂起，就安全了吧 2015-4-21 18:27 0
无名侠雪币： 6910 活跃值： (9049) 能力值： ( LV17，RANK：797 ) 在线值：发帖 74 回帖 406 粉丝 580 关注私信	无名侠 12 7 楼 cil关中断应该也可以 2015-4-21 23:14 0
dahubaobao 雪币： 207 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 50 粉丝 0 关注私信	dahubaobao 8 楼这个没用，属于多此一举。单CPU，只提升IRQL就行了。多CPU，排DPC + 原子操作指令。没有100%安全的hook。你要hook的位置必须保证没有任何线程EIP落在这里，然后锁死CPU修改指令，这是安全的，如果你hook时，有线程EIP落在这里，除非修正线程EIP，否则线程恢复执行后必出事。。。 2015-4-23 12:29 0
浙江螃蟹雪币： 5467 活跃值： (1430) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 142 粉丝 0 关注私信	浙江螃蟹 9 楼这代码很风骚啊 2015-4-26 14:30 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (8)
IamHuskar 雪币： 1392 活跃值： (5107) 能力值： ( LV13，RANK：240 ) 在线值：发帖 76 回帖 1659 粉丝 67 关注私信	IamHuskar 4 2 楼主要是保证memcpy的时候不会被切换或者中断想想如果memcpy5字节完成了前面4字节的拷贝还有最后一字节没有拷贝。此时发生了线程切换。恰好该线程执行了你正在修改的数据，此时你拷贝还没完成。蓝屏就发生了。 2015-4-21 10:26 0
IamHuskar 雪币： 1392 活跃值： (5107) 能力值： ( LV13，RANK：240 ) 在线值：发帖 76 回帖 1659 粉丝 67 关注私信	IamHuskar 4 3 楼不过多核心多字节还是可能有问题，其他核心不跟你旋怎么办？ 2015-4-21 10:38 0
darrin 雪币： 27 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 26 粉丝 1 关注私信	darrin 4 楼使用这个KeRaiseIrqlToDpcLevel();是不是会更好点 2015-4-21 10:44 0
IamHuskar 雪币： 1392 活跃值： (5107) 能力值： ( LV13，RANK：240 ) 在线值：发帖 76 回帖 1659 粉丝 67 关注私信	IamHuskar 4 5 楼这个本身就是提升到DISPATCH_LEVEL 效果和前面的文档keAcquireSpinLock效果是一样的。重点是你只提升了当前的CPU到DISPATCH_LEVEL，多核别的CPU还是可能执行到你的函数这里蓝屏。最好的办法是选取4字节或者8字节的HOOK点。调用InterLocked系列函数完成原子操作。 2015-4-21 10:55 0
SdKfz 雪币： 1 活跃值： (1174) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 81 粉丝 2 关注私信	SdKfz 6 楼用IPI将其它CPU先挂起，就安全了吧 2015-4-21 18:27 0
无名侠雪币： 6910 活跃值： (9049) 能力值： ( LV17，RANK：797 ) 在线值：发帖 74 回帖 406 粉丝 580 关注私信	无名侠 12 7 楼 cil关中断应该也可以 2015-4-21 23:14 0
dahubaobao 雪币： 207 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 50 粉丝 0 关注私信	dahubaobao 8 楼这个没用，属于多此一举。单CPU，只提升IRQL就行了。多CPU，排DPC + 原子操作指令。没有100%安全的hook。你要hook的位置必须保证没有任何线程EIP落在这里，然后锁死CPU修改指令，这是安全的，如果你hook时，有线程EIP落在这里，除非修正线程EIP，否则线程恢复执行后必出事。。。 2015-4-23 12:29 0
浙江螃蟹雪币： 5467 活跃值： (1430) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 142 粉丝 0 关注私信	浙江螃蟹 9 楼这代码很风骚啊 2015-4-26 14:30 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复