-
-
[求助]怎么绕过这样的InlineHook?
-
发表于:
2015-8-10 01:20
5496
-
mov eax, 0B175DB6A这里不能修改
也不能SSDTHook修改NtOpenProcess,否则重启机子
也试过在B175DB6A这里 jmp到自己的函数地址
但是不知道没把堆线平衡搞好还是寄存器里的值已经破坏的原因
导致蓝屏
所以来这请教一下应该怎么绕过
原始NtOpenProcess
805CC486 68 C4000000 push 0C4
805CC48B 68 C0B44D80 push 804DB4C0
805CC490 E8 AB08F7FF call 8053CD40
805CC495 33F6 xor esi, esi
805CC497 8975 D4 mov dword ptr [ebp-2C], esi
被InlineHook后的NtOpenProcess
805CC486 B8 6ADB75B1 mov eax, 0B175DB6A
805CC48B FFD0 call eax
805CC48D 90 nop
805CC48E 90 nop
805CC48F 90 nop
805CC490 E8 AB08F7FF call 8053CD40
805CC495 33F6 xor esi, esi
805CC497 8975 D4 mov dword ptr [ebp-2C], esi
InlineHook地址里的数据
0xB175DB6A 50 push eax
0xB175DB6B 53 push ebx
0xB175DB6C 51 push ecx
0xB175DB6D 52 push edx
0xB175DB6E 56 push esi
0xB175DB6F 57 push edi
0xB175DB70 55 push ebp
0xB175DB71 9C pushfd
0xB175DB72 E8 BBCCFFFF call B175A832
0xB175DB77 E8 02FFFFFF call B175DA7E
0xB175DB7C 8BC8 mov ecx, eax
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课