首页
社区
课程
招聘
[原创]内核对象HOOK
发表于: 2020-1-18 10:44 4967

[原创]内核对象HOOK

2020-1-18 10:44
4967

             首先我们来了解一下内核对象的基本结构,每一个内核对象都是由对象头和对象体组成,对象头都是一样的,对象体 不同的内核对象是不一样的。该结构体请参考内核结构体


              获取ObTypeIndexTable首地址, 地址在ObGetObjectType函数内部中出现,因此, 取函数首地址, 加上一定偏移就能得到该表的首地址.在win7 32系统下, 该表在函数中的0xF偏移处。

测试环境:

> windows7 32位

HOOK步骤:

>找到内核对象原型数组                      >遍历数组,得到指定类型的原型对象                              >修改原型对象中的函数指针

首先构造进程内核对象和函数原型。这里以Hook进程内核对象的OpenProcessDure函数为例,以打开记事本展开实验。



>新建文本文档,打开

>Hook 进程内核对象


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

最后于 2021-1-29 09:30 被Papboys编辑 ,原因:
收藏
免费 3
支持
分享
最新回复 (3)
雪    币: 441
活跃值: (1010)
能力值: ( LV2,RANK:15 )
在线值:
发帖
回帖
粉丝
2
2020-1-18 11:12
0
雪    币: 12848
活跃值: (9143)
能力值: ( LV9,RANK:280 )
在线值:
发帖
回帖
粉丝
3
PATCHGUARD警告
2020-1-18 17:47
0
雪    币: 6
活跃值: (3290)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
hzqst PATCHGUARD警告
看楼主代码,32的滴
2020-1-18 19:59
0
游客
登录 | 注册 方可回帖
返回
//