首页
社区
课程
招聘
2
另一种DWMHOOK
发表于: 2023-3-5 08:35 8563

另一种DWMHOOK

2023-3-5 08:35
8563

void SyscallCallBack(ULONG64 R10, ULONG64 RAX)
{
if (R10 != (ULONG64)((ULONG64)ZwWaitForSingleObject + 0x14)) { return; }

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
if (!LoopLock)
{
    LoopLock = true;
 
    if (ThreadInit == false)
    {
        DWORD CurrentThreadId = GetCurrentThreadId();
 
        ULONG64 ThreadStartAddress = GetThreadStartAddressByThreadId(CurrentThreadId);
 
        if (ThreadStartAddress > DwmCoreModle && ThreadStartAddress < DwmCoreModle + DwmCoreModleSize)
        {
            TarGetThreadId = CurrentThreadId;
 
            ThreadInit = true;
        }
    }
 
    if (pDxgiSwapChain != NULL && ThreadInit == true && GetCurrentThreadId() == TarGetThreadId)
    {
 
        PresentCallBack(pDxgiSwapChain);
    }
 
    LoopLock = false;
}

}

 

第二种:

 

int64 fastcall DxgkRender()
{

1
2
3
4
5
6
7
8
9
10
11
if (PsGetThreadProcess(KeGetCurrentThread()) == DWMEprocess)
{
 
 
    PKTRAP_FRAME ContextRecord = (PKTRAP_FRAME)(*(ULONG64 *)((ULONG64)KeGetCurrentThread() + 0x090));
 
    ContextRecord->Rip = 0x00007DF420BB7790;
 
}
 
return g_DxgkRender(DeviceState);//g_DxgkRender(a1, a2, a3);

}
hook win32k修改KTRAP_FRAME->RIP来进行HOOK
通过ProcessInstrumentationCallback来实现hook dwm 老技术了这都是没啥好说的 丢出来了
老群G了。群号:322595404


[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

最后于 2023-3-5 08:47 被BDBig编辑 ,原因:
收藏
免费 2
支持
分享
赞赏记录
参与人
雪币
留言
时间
厌倦
为你点赞~
2023-3-16 10:44
704088
为你点赞~
2023-3-6 14:00
最新回复 (3)
雪    币: 4134
活跃值: (5847)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
2
挂牛
2023-3-6 11:16
0
雪    币: 3255
活跃值: (1921)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
挂A
2023-3-6 13:19
0
雪    币: 1522
活跃值: (1983)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
1+
2023-3-16 10:46
0
游客
登录 | 注册 方可回帖
返回

账号登录
验证码登录

忘记密码?
没有账号?立即免费注册
//