三年前我写了一个用来在内核做 inlinehook 的项目 [原创]开源一个自己写的简易的windows内核hook框架 。写这个框架的初衷是我发现并没有一个很好用的在windows内核进行 inlinehook 的框架。米松大佬曾经把 detours 移植到了内核 797K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6y4K9i4u0G2d9$3q4C8N6g2)9J5c8V1c8W2N6r3!0#2M7Y4y4j5 ，这个框架很好用，但是 detours 本身是为了三环挂钩开发的，其设计之初好像并没有考虑内核挂钩的特殊情况，因此如果出现了4字节相对寻址，其还是会按照三环的逻辑来修复这个4字节寻址。而此时4字节寻址已经无论如何满足不了需求了，因为申请的内存在2GB开外。在该项目的issue区可以看到 6adK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6y4K9i4u0G2d9$3q4C8N6g2)9J5c8V1c8W2N6r3!0#2M7Y4y4j5i4K6u0r3K9i4y4K6N6h3g2K6i4K6u0r3x3R3`.`. 挂钩 MmIsAddressValid 失败的情况。这里就是因为有一个E8 call，detoursX 修复相对地址失败了。如图是hook之前的情况

hook之后，这个e8 call并没有被正确修复，导致跳到不存在的地址

事实上，对于这种有相对寻址的情况，并不能简单修复4字节的相对地址。因为内核是一个很宽广的空间，4字节只能寻址4GB内存，内核是申请不到离得这么近的内存地址用来存放 trampoline 的。为了解决这个问题，我写了一个hook框架，在框架中对相对寻址进行了特判，使得所有相对寻址都能正确找到对应的位置。

2025.6.3更新：该问题已被米松哥在 d81K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6y4K9i4u0G2d9$3q4C8N6g2)9J5c8V1c8W2N6r3!0#2M7Y4y4j5i4K6u0r3j5$3!0E0L8h3W2@1i4K6u0r3j5U0t1@1y4U0k6X3x3r3g2W2x3U0N6X3k6o6k6U0x3h3g2U0z5r3t1&6y4r3u0S2y4X3x3&6x3r3t1&6k6o6t1%4j5X3p5@1j5U0p5%4j5R3`.`. commit中被修复，使用了 48 b8 IMM64（MOV RAX, IMM64） 之后 FFD0(CALL RAX) 的方法。欢迎大家直接使用detourX来进行hook。

如图，假设未被hook的代码如黄色图块显示。代码顺序为ABCDE，假设ABC三条指令加起来长度大于14字节，可以放下 ff 25 00 00 00 00 00 00 00 00 00 00 00 00 这个跳转。本框架会自动识别这三条代码的长度，然后将其替换为一个 ff25 jmp。其跳到自己申请的一块空间。跳转完成之后首先进行环境的保存，将所有寄存器保存到栈中。然后call一个C语言写的callback函数。可以在这个函数中进行相应的操作。如果这个函数的返回值是 FALSE ，则跳转回原函数处进行执行。如果为 TRUE ，则直接return，不再执行原函数。如果需要执行原函数，则重新POP所有之前保存的寄存器，然后执行 A B C 三条语句，最后通过一个 ff25 jmp跳到原函数中的下一行处执行（在此示例中是D处)。

本框架适配了大量相对跳转的模式，如7X XX && E1 xx && E2 xx && E3 xx && EB xx一字节短跳，0F 8X XX XX XX XX四字节相对跳转，E8 E9四字节短跳和call等。这些情况的处理方法都如下图所示

假设 ABC 三条语句中，只有B这一条语句是一个使用了相对跳转的语句。这里用 74 XX 这个JE跳转举例。

如图，本框架会自动计算出来跳转的目的地的绝对地址，然后生成一条 FF25 无条件跳转语句放在 shellcode 的最末尾。然后把74跳转的目标改为这一条FF25跳转指令的相对地址。这样的话，如果这条JE跳转条件成立，会跳转到FF25指令处，然后FF25跳转到原先的绝对地址处。这样保证了逻辑的正确性。其他1字节、4字节的相对寻址跳转都使用了这样的思想来进行修正。

这种情况比较复杂，因为这些代码并不像跳转指令那样可以简单使用FF25作为trampoline跳回真正的绝对地址。而且这些指令并不存在可以使用绝对地址寻址的指令版本，因此也不能将其特殊改造为绝对寻址版本。在本框架中，处理的方法如下：16字节对齐地查找被hook的模块中全0的地址，然后把相对寻址的代码复制过去，因为这时的地址在对应模块地址内部，因此可以完成相对寻址的执行。逻辑如图

内核中大量存在 48 8D 05这种相对寻址代码。主要出现在Zw函数中。如果所有的函数都使用寻找模块内空白地址进行跳转的方法，会出现模块内空白地址耗尽导致无法hook的问题，因此这里对这种情况做了一下特判。把这个LEA改成了一个 48 B8的 MOV RAX, IMM64。

如下图所示

有了上面的hook框架，就可以考虑对内核的一些函数进行hook来进行对特定驱动的系统函数调用流程分析了。首先需要专门处理一种特殊情况，在这种情况下，不能直接hook函数。那就是，如果有其他代码会跳转到开头需要覆盖的指令的中间，就不能直接对函数进行hook。说起来有点拗口，但是举一个例子就明白了，如下

比如这个函数 RtlUnalignedStringCchLengthW ，可以看到

在开头第12个字节有一个基本块，在其他地方有跳转到这个基本块的代码。在这种情况下，如果直接填入 ff25（14个字节），会覆盖这个位置。而后面的jnz还是有可能跳转到这个地址，这就会导致跳转到corrupted memory，而产生不可控的后果。

解决这个问题的办法是写一个IDA脚本对这种情况进行特判，一旦函数开头前14个字节出现了可能被其他基本块跳转到的基本块，就标记为False，不处理这个函数。判断函数如下

内核的导出函数都是一些调用非常频繁的函数，每时每刻都会有驱动程序对他们进行调用。全部记录下来是非常不现实的事情，会导致系统完全卡死。因此这里需要通过返回地址对调用来源进行选择性判断，只打印来自特定来源的函数调用。本监控框架封装了一个用于维护监控地址集合的singleton。可以通过以下三个宏

来添加、删除监控范围，以及判断某一个地址是否正在被监控。

如下是IDA脚本自动生成的一个handler。可以看到使用了 FILTER_RET_ADDR 判断调用来源，只有返回地址是特定来源的调用，才进行打印四个参数和返回地址的记录。

使用nuget导入米松哥封装的 Musa.Runtime ，开始愉快地在内核编写C++代码

把需要监控的驱动用IDA打开，打开 scripts\AutoGen.py ，ctrl + h 全局修改修改里面硬编码的保存路径后运行 AutoGen.py 脚本，得到 available_funcs.inc 、 handlers.h 、 handlers.c 三个自动生成的文件，并将其导入vs项目中。

在 DriverMain 中特定 Hook 自己感兴趣的函数。

加载驱动，查看日志。

在 DriverMain 中设置 ImageCallback

在 callback 中检查是否为 ACEDriver.sys 被加载，如果是的话，添加相应监控范围。

开启虚拟机，加载本分析框架。

成功自动 hook 所有导出函数中可以hook的函数。

可以看到，中间出现了一次 KDTARGET: Refreshing KD connection 信息，再往上看，发现是 KdRefreshDebuggerNotPresent 函数被调用了。也就是说其使用了这个函数进行反调试。返回地址是 fffff8044d121634 ，imagebase是 FFFFF8044C9C0000 ，算出对这个函数进行调用的位置是 ACEDriver.sys + 0X761634 。直接通过dump的代码进入这个位置，发现这里是一个 ExQueueWorkItem 起来的线程，从log中也可以看出来调用了 ExQueueWorkItem 。最终分析得出结论：需要 hook KdDisableDebugger 和 KdRefreshDebuggerNotPresent 两个函数，并手动设置返回值。实现如下

在 handler 里面直接修改 mRax 返回值，并 return TRUE 。在本框架中， return TRUE 是不调用原始函数，设置寄存器后直接返回。因此效果是，调用 KdDisableDebugger 直接返回 STATUS_SUCCESS ，不调用原始函数。调用 KdRefreshDebuggerNotPresent 返回1，这个值表明当前没有挂上调试器。在加上这两个函数的hook后，重新加载驱动。

把前文说到的相关hook加上后再次加载，这次不会蓝屏了。完整log如下

可以看到，会两个workitem互相调用，后面应该是 HV 的 EPT 相关信息的申请和保存，也可以通过这些函数的调用地点反推到关键函数。接下来的分析就不写了。因为找到关键算法位置之后就是令人头晕的逆向环节。本框架只能用来快速定位整个驱动的关键逻辑点，但是逆向工作还是需要自己手动通过打印出来的返回地址回溯并手工逆向。

传播安全知识、拓宽行业人脉——看雪讲师团队等你加入！