-
-
[讨论]InfinityHook在19041小版本间的兼容性问题
-
发表于: 2020-7-27 13:28
-
剖析InfinityHook原理 掀起一场更激烈的攻与防恶战
为了技术储备，尝试在19041上进行稳定的InfinityHook
Windows19041 更新到最近的小版本 10.0.19041.388，下载对应的符号文件
直接编译大佬的项目Github项目infhook19041，运行，蓝屏，
调试发现
在没有获取到函数 KeQueryPerformanceCounter 中 mov rdi, cs:HalpPerformanceCounter 地址的情况下
访问了地址＋3的位置去获取变量HalpPerformanceCounter所在的偏移
IDA 加上符号文件
简单修改了查找的特征码
再次编译，没有蓝屏，但是Hook没有生效
继续调试
发现是在被替换了的 keQueryPerformanceCounter 中，在栈中查找存储系统调用的地址，之前的偏移已经无效
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
最后于 2020-7-27 18:06
被随风行编辑
，原因： 新增了发现的问题
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
好好的逆向做成了体力活 |
|
|
目前版本号大于19041的都是预览版，用预览版的用户叫他滚蛋就完事了 |
|
|
|
|
|
我更新了附加代码 Infinityhook.zip
修复了 卸载后重新加载失败的问题 修复了 没有释放的内存的问题 我不知道下午谁都下载了我的代码，只能在留言做个通知了 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
微软已经盯上InfinityHook了 
|
|
|
|
|
|
从最近几个版本对ETW的改动就可以看出，微软一直想补上这个洞。 但我觉得 堵不如疏， 生命会自己寻找出路，逆向会自己挖洞 
|
|
|
感觉halpPerformanceCounter的特征码挺稳定的啊 19041.1110
19042.928
19043.1052
在搜内存的时候这么写不就可以了 halpPerformanceCounter = Scanner::scanPattern(reinterpret_cast<std::uint8_t*>(keQueryPerformanceCounter), 0x100, "\x48\x8B\x3D", "xxx"); |
|
|
请问一下走到这一行就蓝屏事为啥？ 还有这个值是怎么找到的呢？
|
|
|
蓝屏报了什么错误码？ 在栈中找到数个相符的地址，挨个替换尝试 |
|
|
|
|
|
隔了两年，win11都出了，不失效就见鬼了 
|
|
|
感谢分享 |
|
|
|
hzqst
，
