-
-
[求助]x64 Hook KiSystemCall64失败
-
发表于: 2016-1-15 17:11
-
最近在研究利用VT做syscall64 hook，逆向了一下卡巴斯基2016的驱动klhk.sys，虽然没有逆完，但是大体思路了解了，就自己写了一个差不多的。但是重载KiSystemCall64并修复相对偏移之后，wrmsr到我自己的syscall后会随机崩溃，WinDbg看了下发现是调用ZwAllocateVirtualMemory时出问题，但不知道是不是我没有发现，在卡巴斯基的驱动里并没有对ZwAllocateVirtualMemory的特殊处理。我自己的的代码和逆向卡巴的idb都放在附件了，质量很烂
，有大神了解的可以帮忙看下吗？
，有大神了解的可以帮忙看下吗？
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
VT 是接管不是重载 .在说如果是HOOK是要触发PG的 win7 x64 shadown 是不触发PG win8 10才要 win 10需要设置CR3,另外CPUID也要返回给系统处理 |
|
|
我知道VT只是负责处理系统对MSR的检测，但现在的问题是修复相对偏移，然后改MSR到我的函数之后，会随机性出错，而且在测试这个代码的时候是没有开启VT的，把MSR改成卡巴驱动里的函数就没有问题 出错的时候是在WinDbg中断下来提示Access Violation，而不是触发PG的BugCheck 
|
|
|
|
|
|
|
|
|
|
|
|
看了一下，是有一个地方没处理好
lea rdi,[nt!KeServiceDescriptorTableShadow+0x20] 后面那个+0x20我没有注意到 但是这个改好之后还是出错啊，内存中的汇编我逐字节和卡巴自己的函数对比了，都是一样的 难道是自己处理的SSDT表有问题？ |
|
|
要这样
  |
|
|
参考了类似方法之后成功了，感谢！但是为什么卡巴那种方式却不能用呢？应该还是我的代码有问题吧
|
|
|
|
|
|
|
|
|
|
