-
-
未解决 [求助]百思不得其姐,这样HOOK居然能蓝
-
发表于: 2023-9-21 15:42
-
最近在玩 VT 框架的一个源码
在里面SyscallHook hook 各种Nt的底层API，都可以正常
唯独HOOK NtQuerySystemInformation 这个函数时候
就算内部什么代码都不处理，只进行
可以正常HOOK上，并且 打印出10几条
DbgPrint(" HookNtQuerySystemInformation \n");
信息到 debugview.exe
但是就蓝屏了，例如： 
有2个疑惑：
1.不是说VT环境下，做HOOK 都不会PG吗，这是PG导致的吗？
2.HOOK SSDT其他函数都正常不会蓝屏，为啥单独HOOK NtQuerySystemInformation 却不一会就蓝屏了？
请前辈们指点下问题是什么导致的！
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
最后于 2023-9-22 08:32
被我的研究编辑
，原因：
|
|
|---|---|
|
|
|
|
|
首先非常感谢大佬前辈回复指点疑惑， 我也查了这个这个错误代码是 系统进程被意外终止了 ， 我只是觉得在 底层 DbgPrint 调用过多也会导致系统进程崩溃而蓝的，有点不可思议。
最后于 2023-9-22 08:34
被我的研究编辑
，原因：
|
|
|
|
|
|
注释掉了 DbgPrint 这句打印，还是会 蓝，百思不得骑姐啊 |
|
|
挂调试器上去，蓝的时候追下堆栈，找到问题原因 |
|
|
|
|
|
找到原因了，是跳板的字节的问题，HOOK 的函数入口高于13个字节，就会异常，刚好 NtQuerySystemInformation 是14个字节
|
|
|
请赐教，你指的硬伤是什么 |
|
|
大概说的是性能降低把 |
|
|
第一次不直接蓝么？ |
