首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[求助]win7 64位下hook ZwCreateThreadEx拦截不到部分线程咋办？
发表于: 2015-8-14 18:44 7685

[求助]win7 64位下hook ZwCreateThreadEx拦截不到部分线程咋办？

Dormi 活跃值
2015-8-14 18:44
7685

对一个程序Hook ntdll.ZwCreateThreadEx（win7下 kernel32.CreateThread的底层函数），可以拦截到一些线程，但是有部分线程并不能通过这种方式拦截到。请问这些拦截不到的线程，是用哪种方法产生的？求牛牛们指点。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (9)
猪会被杀掉
雪    币： 18
活跃值： (1059)
能力值： ( LV7，RANK：110 )
在线值：
发帖
回帖
粉丝
私信
2 楼
这个API试过没有？
NTSTATUS PsSetCreateThreadNotifyRoutine(
  _In_ PCREATE_THREAD_NOTIFY_ROUTINE NotifyRoutine
);
2015-8-14 18:54
0
Dormi
雪    币： 23
活跃值： (25)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
3 楼
[QUOTE=猪会被杀掉;1386629]这个API试过没有？
NTSTATUS PsSetCreateThreadNotifyRoutine(
  _In_ PCREATE_THREAD_NOTIFY_ROUTINE NotifyRoutine
);
[/QUOTE]

希望可以在ring3下拦截。。这个只是内核通知，是否有一些不通过ZwCreateThreadEx就可以创建线程的方法。。
2015-8-14 18:56
0
猪会被杀掉
雪    币： 18
活跃值： (1059)
能力值： ( LV7，RANK：110 )
在线值：
发帖
回帖
粉丝
私信
4 楼
sorry,我也不清楚了.
2015-8-14 18:58
0
Dormi
雪    币： 23
活跃值： (25)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
5 楼
好吧，谢谢你。
2015-8-14 18:59
0
lialong
雪    币： 2168
活跃值： (1997)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
ZwCreateThreadEx进过SSDT
NtCreateThreadEx就不会
试试这个
然后底层的就楼上说的
2015-8-14 19:04
0
Dormi
雪    币： 23
活跃值： (25)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
7 楼
不是。。我是说ring3层的ZwCreateThreadEx，我用OD看，这个已经是最底层了，再下去好像就是SharedUserData!SystemCallStub了。、。
2015-8-14 19:16
0
lialong
雪    币： 2168
活跃值： (1997)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
是的，进入内核 内核会通过SSDT表去查看调用NtCreateThreadEx
你直接load ntdll 然后再找地址后 HOOK他
2015-8-14 21:31
0
luskyc
雪    币： 248
活跃值： (3789)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
拦截不到，是因为在你hook之前，线程就创建了，或者其他进程调用CreateRemoteThread，你也拦截不到
2015-8-15 00:05
0
Dormi
雪    币： 23
活跃值： (25)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
10 楼
我使用dbghelp.dll劫持 还有没有更早的插入方法吗？
2015-8-15 06:34
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//