-
-
[原创]内核对象HOOK
-
发表于:
2020-1-18 10:44
4969
-
首先我们来了解一下内核对象的基本结构，每一个内核对象都是由对象头和对象体组成，对象头都是一样的，对象体 不同的内核对象是不一样的。该结构体请参考内核结构体。
获取ObTypeIndexTable首地址, 地址在ObGetObjectType函数内部中出现，因此, 取函数首地址, 加上一定偏移就能得到该表的首地址.在win7 32系统下, 该表在函数中的0xF偏移处。
测试环境：
> windows7 32位
HOOK步骤：
>找到内核对象原型数组
>遍历数组,得到指定类型的原型对象
>修改原型对象中的函数指针
首先构造进程内核对象和函数原型。这里以Hook进程内核对象的OpenProcessDure函数为例，以打开记事本展开实验。
>新建文本文档，打开
>Hook 进程内核对象
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
最后于 2021-1-29 09:30
被Papboys编辑
，原因：
hzqst
