windows x64 hook KiSystemCall64

    需要在x64下做进线程监控，常规SSDT会被PG蓝屏，于是结合VT，替换MSR_LSTAR

(0xC0000082)的值，重载KiSystemCall64函数，构建fake_SSDT表来达成目的。

    x64没有直接跳转到64位地址的指令，在不改变任何寄存器值的情况下，发现有以下两种

方法达到跳转的目的：

1.
push    rax
mov     rax, 1234567812345678h
xchg    rax, [rsp]
retn

2.
jmp qword ptr [$+offset32 of QwordArray]  // FF25 XXXXXXXX
...
QwordArray[]
0x1234567812345678
0x1234567812345678
0x1234567812345678
0x1234567812345678
...

    KiSystemCall64 下断必须位于这三句后面，因为这里，内核栈才设置好，调试机制依赖

内核栈；
.text:000000014007F640 KiSystemCall64  proc near
.text:000000014007F640                 swapgs
.text:000000014007F643                 mov     gs:10h, rsp
.text:000000014007F64C                 mov     rsp, gs:1A8h 

PS：
    调试过程中发现一个问题：构建SSDT表一定要占够64字节，后32字节需要清零，后面要紧

接着ShadowSSDT。

代码见：682K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6p5k6f1c8X3i4K6u0r3d9r3!0G2K9#2y4&6M7$3y4S2L8r3H3$3y4q4!0o6x3W2!0m8x3q4!0q4c8W2!0n7b7#2)9^5z5q4!0q4y4q4!0n7b7W2)9^5y4g2!0q4y4g2)9&6b7#2!0m8z5s2N6A6L8U0N6^5y4U0c8Q4c8e0k6Q4b7U0g2Q4z5p5u0Q4c8e0S2Q4b7f1k6Q4z5e0g2Q4c8e0W2Q4z5o6m8Q4z5f1q4Q4c8e0S2Q4b7V1k6Q4z5o6N6Q4c8f1k6Q4b7V1y4Q4z5o6V1`.

实现具体hook时，需要打开RebuiltSsdt里的注释，SsdtAddress[i]里置入对应Hook函数地址

。

[培训]科锐软件逆向54期预科班、正式班开始火爆招生报名啦！！！