最近一直在思考如何hook内核函数而不触发pg，于是我在看雪找到一篇文章讲解如何hook内核函数不触发pg，链接：https://bbs.kanxue.com/thread-266781.htm。 文章并没有讲解思路，直接贴上代码，在看完他的代码后，我理解了其思路，发现代码有点冗长，存在一些多余的操作，不过这也给了我过pg的思路。
windows64位系统内核中内核函数线性地址对应的物理地址是pte里面的物理地址，是不是可以修改pte里面物理地址从而改变线性地址对应的物理地址，但是内核中的函数的pte里面的物理地址是全局的，只要一修改，其他进程也会受到影响。好在我们通过进程的Cr3找到进程的内核函数地址对应的PXE，这个PXE不是全局的，如果修改了PXE里面的值，该进程内核函数对应的物理地址也就变了，但是不会影响的其他进程。于是我们可以重构页表，通过修改PXE，PDPTE，PDE，PTE来修改该进程内核函数对应的物理地址，从而可以对该内核函数进行hook而不触发pg。大致做法如下图：


我们可以通过映射物理内存到虚拟内存的方法来修改PXE，PDPTE，PDE，PTE。
这里一共两份源码，一份win7，一份win10，win10的源码针对2Mb大页的。
下面是源码：
支持win7
#include<ntifs.h>
ULONG_PTR pPhyAddr[5] = { 0 };

typedef struct _HARDWARE_PTE
{
ULONG64 Valid : 1;
ULONG64 Write : 1;
ULONG64 Owner : 1;
ULONG64 WriteThrough : 1;
ULONG64 CacheDisable : 1;
ULONG64 Accessed : 1;
ULONG64 Dirty : 1;
ULONG64 LargePage : 1;
ULONG64 Global : 1;
ULONG64 CopyOnWrite : 1;
ULONG64 Prototype : 1;
ULONG64 reserved0 : 1;
ULONG64 PageFrameNumber : 36;
ULONG64 reserved1 : 4;
ULONG64 SoftwareWsIndex : 11;
ULONG64 NoExecute : 1;
} HARDWARE_PTE, *PHARDWARE_PTE;

BOOLEAN InitHook(ULONG_PTR VirtualAddress_s, ULONG Pid, ULONG_PTR offset)
{
//1获取虚拟内存的PXE PDPTE pde，pte的索引
ULONG PxeIndex = (VirtualAddress_s >> 0x27) & 0x1FF;
UINT32 PPEIndex = (VirtualAddress_s >> 0x1E) & 0x1FF; //PPEIndex
UINT32 PDEIndex = (VirtualAddress_s >> 0x15) & 0x1FF; //PDEIndex
UINT32 PTEIndex = (VirtualAddress_s >> 0xC) & 0x1FF;

}
VOID unstallHook()
{

}

VOID DriverUnload(PDRIVER_OBJECT pDriver)
{
unstallHook();
}

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING pRes)
{
pDriver->DriverUnload = DriverUnload;
UNICODE_STRING ss = { 0 };
RtlInitUnicodeString(&ss, L"NtOpenProcess");
ULONG_PTR NtOpenAddr = MmGetSystemRoutineAddress(&ss);
ULONG_PTR funcVir = NtOpenAddr & ~(0xfff);
ULONG_PTR funcOffset = NtOpenAddr & 0xfff;
InitHook(funcVir, 2280, funcOffset);
//SetPTEHook(ssz);
return STATUS_SUCCESS;
}
当我附加到被我下钩子的进程，NtOpenProcess的结果在内存中是这样的：

附加到我们没有HOOK的其他进程：

在win7 64位系统中存在了5小时未发生pg。
我的这份源码纯粹是为了实验，封装的不太好，请谅解。
由于我刚学习64位系统内核没多久，可能文章会有一些错误，希望各位大佬能够指正。

对于win10,由于不能像win7用同样的方法映射页表的物理内存，我换了一种方式，且这次是2Mb的大页，细节有很多发生了变化，但思路还是一样的，我没有完善卸载函数，卸载的时候会蓝屏。
下面是源码：
ULONG_PTR pPhyAddr[5] = { 0 };
ULONG IsPdeLager = 0;
ULONG_PTR newPPEphy = 0;
//ULONG_PTR pPhyAddr[5] = { 0 };
ULONG_PTR newPDEphy = 0;
ULONG_PTR newPTEphy = 0;
ULONG_PTR newphy = 0;

typedef struct _HARDWARE_PTE
{
ULONG64 Valid : 1;
ULONG64 Write : 1;
ULONG64 Owner : 1;
ULONG64 WriteThrough : 1;
ULONG64 CacheDisable : 1;
ULONG64 Accessed : 1;
ULONG64 Dirty : 1;
ULONG64 LargePage : 1;
ULONG64 Global : 1;
ULONG64 CopyOnWrite : 1;
ULONG64 Prototype : 1;
ULONG64 reserved0 : 1;
ULONG64 PageFrameNumber : 36;
ULONG64 reserved1 : 4;
ULONG64 SoftwareWsIndex : 11;
ULONG64 NoExecute : 1;
} HARDWARE_PTE, *PHARDWARE_PTE;

BOOLEAN InitHook(ULONG_PTR VirtualAddress_s, ULONG Pid, ULONG_PTR offset)
{

};
VOID unstallHook()
{
if (IsPdeLager)
{
MmFreeContiguousMemory(pPhyAddr[0]);
MmFreeContiguousMemory(pPhyAddr[1]);
MmFreeContiguousMemory(pPhyAddr[2]);
return;
}

}
VOID DriverUnload(PDRIVER_OBJECT pDriver)
{
unstallHook();
}

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING pRes)
{
pDriver->DriverUnload = DriverUnload;
PKLDR_DATA_TABLE_ENTRY pKldr = (PKLDR_DATA_TABLE_ENTRY)pDriver->DriverSection;
pKldr->Flags |= 0x20;
//NTSTATUS status = PsSetCreateProcessNotifyRoutine(ProcessNotifyRoutine, FALSE);
UNICODE_STRING ss = { 0 };
RtlInitUnicodeString(&ss, L"NtOpenProcess");
ULONG_PTR NtOpenAddr = MmGetSystemRoutineAddress(&ss);
ULONG_PTR funcVir = NtOpenAddr & ~(0xfff);
ULONG_PTR funcOffset = NtOpenAddr & 0xfff;
InitHook(funcVir, 8568, funcOffset);
//SetPTEHook(ssz);
return STATUS_SUCCESS;
}
附加到我们hook的进程：

附加到其他进程:

实验结果和win7是一样的，同样也没有出发PG。
下面是win10的版本：

传播安全知识、拓宽行业人脉——看雪讲师团队等你加入！