windows x64 hook KiSystemCall64

    需要在x64下做进线程监控，常规SSDT会被PG蓝屏，于是结合VT，替换MSR_LSTAR

(0xC0000082)的值，重载KiSystemCall64函数，构建fake_SSDT表来达成目的。

    x64没有直接跳转到64位地址的指令，在不改变任何寄存器值的情况下，发现有以下两种

方法达到跳转的目的：

1.
push    rax
mov     rax, 1234567812345678h
xchg    rax, [rsp]
retn

2.
jmp qword ptr [$+offset32 of QwordArray]  // FF25 XXXXXXXX
...
QwordArray[]
0x1234567812345678
0x1234567812345678
0x1234567812345678
0x1234567812345678
...

    KiSystemCall64 下断必须位于这三句后面，因为这里，内核栈才设置好，调试机制依赖

内核栈；
.text:000000014007F640 KiSystemCall64  proc near
.text:000000014007F640                 swapgs
.text:000000014007F643                 mov     gs:10h, rsp
.text:000000014007F64C                 mov     rsp, gs:1A8h 

PS：
    调试过程中发现一个问题：构建SSDT表一定要占够64字节，后32字节需要清零，后面要紧

接着ShadowSSDT。

代码见：https://github.com/DeDf/HookSyscall64 （仅在win7x64测试通过）

实现具体hook时，需要打开RebuiltSsdt里的注释，SsdtAddress[i]里置入对应Hook函数地址

。

[课程]Android-CTF解题方法汇总！