[原创] 没什么用之——R0下不一样的SSDT Hook-编程技术-看雪安全社区

[原创] 没什么用之——R0下不一样的SSDT Hook

发表于: 2025-8-10 20:38 13489

[原创] 没什么用之——R0下不一样的SSDT Hook

moshuiD

2025-8-10 20:38

13489

# 前言
一般的，SSDT hook会采用直接修改SSDT表的方式来进行，或者采用ETW hook来做，这两种办法都不错。那么我说一种比较水的办法来HOOK，可以针对特定进程进行SSDT hook，其是利用Alt系统来做的。

# 原理
如果探究过API R3进R0过程的人，肯定会逆向`KiSystemCall64`函数，不过详细观察该函数，会发现一个奇怪的函数`PsAltSystemCallDispatch`。该函数会在进程设置某些标志位的情况下调用，并且获得TrapFrame。
## 调用
 ![](upload/attach/202508/932553_ZYGTBA9ANRCM59R.webp)
通过图片上给出的汇编不难看出，该函数传入的是`TrapFrame`,我们可以转进去看一下。
 ![](upload/attach/202508/932553_8PPPTDU6R6JHJWW.webp)
会发现里面竟然从`PsAltSystemCallHandlers`地址处拿指针并执行（`_guard_dispatch_icall`就是个检查一下指针然后call过去）。
此处这个ida的结构体有问题，我们可以看一下真实结构（_KTHREAD第一个结构是_DISPATCHER_HEADER）：
```C++
struct _DISPATCHER_HEADER
{
            .....
            union
            {
                UCHAR DebugActive;                                          //0x3
                struct
                {
                    UCHAR ActiveDR7:1;                                      //0x3
                    UCHAR Instrumented:1;                                   //0x3
                    UCHAR Minimal:1;                                        //0x3
                    UCHAR Reserved4:2;                                      //0x3
                    UCHAR AltSyscall:1;                                     //0x3
                    UCHAR UmsScheduled:1;                                   //0x3
                    UCHAR UmsPrimary:1;                                     //0x3
                };
            };
        };
 
    };
    LONG SignalState;                                                       //0x4
    struct _LIST_ENTRY WaitListHead;                                        //0x8
};

```
这里判断4也就是（`Minimal`）。继续往后看看。

有指针，果断交叉引用一下快快会不会有什么地方写入，会发现竟然有写指针的函数，和开启该功能的函数。  
 ![](upload/attach/202508/932553_ZZTVY5JA2BBCJQ3.webp)

## 注册
通过该函数可以发现，`PsAltSystemCallHandlers`只有2个成员，且通过调用该函数可以直接注册回调函数。
 ![](upload/attach/202508/932553_3BVBGHNE4PZUCPN.webp)
通过图片的分析我们可以看出来，如果设置的index有回调函数了，就会蓝屏，也就是意味着如果设置了就无法覆盖。  
好消息是该函数是导出的函数。
 ![图片描述](upload/attach/202508/932553_XNAZA6W4YY5X8HG.webp) 
所以我们可以直接调用的。  
## 开启监控
通过分析该函数的传入参数不难看出，其主要是设置了程序执行体和线程执行体上的标志位。
 ![](upload/attach/202508/932553_9WR2K8PBG35DE55.webp)
这里可以从结构中看出，主要是设置了`AltSyscall`开启。
```C++
struct
{
	ULONG Minimal : 1;                                                //0x87c
	ULONG ReplacingPageRoot : 1;                                      //0x87c
	ULONG Crashed : 1;                                                //0x87c
	ULONG JobVadsAreTracked : 1;                                      //0x87c
	ULONG VadTrackingDisabled : 1;                                    //0x87c
	ULONG AuxiliaryProcess : 1;                                       //0x87c
	ULONG SubsystemProcess : 1;                                       //0x87c
	ULONG IndirectCpuSets : 1;                                        //0x87c
	ULONG RelinquishedCommit : 1;                                     //0x87c
	ULONG HighGraphicsPriority : 1;                                   //0x87c
	ULONG CommitFailLogged : 1;                                       //0x87c
	ULONG ReserveFailLogged : 1;                                      //0x87c
	ULONG SystemProcess : 1;                                          //0x87c
	ULONG HideImageBaseAddresses : 1;                                 //0x87c
	ULONG AddressPolicyFrozen : 1;                                    //0x87c
	ULONG ProcessFirstResume : 1;                                     //0x87c
	ULONG ForegroundExternal : 1;                                     //0x87c
	ULONG ForegroundSystem : 1;                                       //0x87c
	ULONG HighMemoryPriority : 1;                                     //0x87c
	ULONG EnableProcessSuspendResumeLogging : 1;                      //0x87c
	ULONG EnableThreadSuspendResumeLogging : 1;                       //0x87c
	ULONG SecurityDomainChanged : 1;                                  //0x87c
	ULONG SecurityFreezeComplete : 1;                                 //0x87c
	ULONG VmProcessorHost : 1;                                        //0x87c
	ULONG VmProcessorHostTransition : 1;                              //0x87c
	ULONG AltSyscall : 1;                                             //0x87c
	ULONG TimerResolutionIgnore : 1;                                  //0x87c
	ULONG DisallowUserTerminate : 1;                                  //0x87c
};
```
但是很遗憾该函数并未导出，但是天无绝人之路，可以直接用`NtSetInformationProcess`开启。
 ![](upload/attach/202508/932553_JUMYWH7YCKRM5AG.webp)
可以设置`ProcessInformationClass`的值为0x64来开启，其中发现`ProcessInformation`的值没用过，只要不是0就可以了。  
# 代码实现
```C++
EXTERN_C NTSYSCALLAPI NTSTATUS NTAPI NtSetInformationProcess(
    _In_ HANDLE ProcessHandle,
    _In_ DWORD ProcessInformationClass,
    _In_reads_bytes_(ProcessInformationLength) PVOID ProcessInformation,
    _In_ ULONG ProcessInformationLength
);
#define ProcessAltSystemCallInformation 100
typedef NTSTATUS(*t_PsRegisterAltSystemCallHandler)(PVOID, int);
typedef bool(*t_AltCallBack)(PKTRAP_FRAME);

NTSTATUS RegCallBack(HANDLE hPid, t_AltCallBack pCallback) {
	NTSTATUS	      status		= STATUS_UNSUCCESSFUL;
	UNICODE_STRING    uRegister		= RTL_CONSTANT_STRING(L"PsRegisterAltSystemCallHandler");
	HANDLE			  hProc			= NULL;
	OBJECT_ATTRIBUTES objectAttr;
	CLIENT_ID		  clientId;
	t_PsRegisterAltSystemCallHandler pPsRegisterAltSystemCallHandler = NULL;

InitializeObjectAttributes(&objectAttr, NULL, 0, NULL, NULL);
	do
	{
		if (pCallback == NULL || hPid == NULL) {
			status = STATUS_INVALID_PARAMETER;
			break;
		}

pPsRegisterAltSystemCallHandler = (t_PsRegisterAltSystemCallHandler)MmGetSystemRoutineAddress(&uRegister);
		if (pPsRegisterAltSystemCallHandler == 0) {
			status = STATUS_INVALID_ADDRESS;
			break;
		}

status = pPsRegisterAltSystemCallHandler(pCallback, 1);
		if (!NT_SUCCESS(status)) {
			break;
		}

clientId.UniqueProcess = hPid;
		clientId.UniqueThread  = 0;
		status = ZwOpenProcess(&hProc, PROCESS_ALL_ACCESS, &objectAttr, &clientId);
		if (!NT_SUCCESS(status)) {
			break;
		}

status = NtSetInformationProcess(hProc, ProcessAltSystemCallInformation, &hProc, 1);
		if (!NT_SUCCESS(status)) {
			break;
		}

} while (false);
	return status;
}

```
直接调用这个函数就可以了，第一个参数传入pid，第二个是回调函数。  
```C++
	RegCallBack(ULongToHandle(1234), [](PKTRAP_FRAME pTrapFrame)->bool {
		if (pTrapFrame != NULL)
			KdPrint(("[+] rax: %p\n", pTrapFrame->Rax));
		return true;
	});
```
# 说在最后
最重要的事情是：这个东西在**win10上可行**，**win11已经进行了修改**。 ~~后面有时间再分析~~。
第二重要的是：注册过回调之后无法再次注册，意味着如果对某个进程开启监控时无法停止，也不能卸载驱动，除非进程结束。

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#系统内核 #HOOK/注入 #开源分享

收藏・20

点赞・104

打赏

赞赏记录

参与人

雪币

留言

时间

git_51951meggadf3df

非常支持你的观点！

2026-9-14 19:08

htpidk

这个讨论对我很有帮助，谢谢！

2026-9-8 14:18

铭信

你的帖子非常有用，感谢分享！

2026-9-7 21:55

mb_lthgjpwj

为你点赞！

2026-8-21 08:45

晨曦。

为你点赞！

2026-8-17 06:02

wx_晨梦

为你点赞！

2026-7-16 10:28

上网鱼

你的帖子非常有用，感谢分享！

2026-7-13 18:01

匿名123

感谢你的贡献，论坛因你而更加精彩！

2026-7-5 20:03

Ally Switch

感谢你的贡献，论坛因你而更加精彩！

2026-6-22 10:29

夕兮

谢谢你的细致分析，受益匪浅！

2026-6-17 19:41

qqzxc

你的帖子非常有用，感谢分享！

2026-6-1 10:07

tdsss

谢谢你的细致分析，受益匪浅！

2026-5-29 16:43

qwepanzer

感谢你分享这么好的资源！

2026-5-25 12:44

npc0vo

期待更多优质内容的分享，论坛有你更精彩！

2026-4-26 01:44

KALI_MC

谢谢你的细致分析，受益匪浅！

2026-3-8 21:32

寻影星尘

非常支持你的观点！

2025-12-19 11:47

M2727527

谢谢你的细致分析，受益匪浅！

2025-12-14 13:00

dsqyg

感谢你的积极参与，期待更多精彩内容！

2025-12-8 15:13

御剑残风

非常支持你的观点！

2025-12-4 21:24

mb_dtidoewd

非常支持你的观点！

2025-12-4 20:24

nulles

非常支持你的观点！

2025-11-29 23:50

天涯一鸿

你的帖子非常有用，感谢分享！

2025-11-28 17:57

Jinyok

非常支持你的观点！

2025-11-21 00:56

git_32708yx-3s

这个讨论对我很有帮助，谢谢！

2025-11-15 07:54

共x党头子

非常支持你的观点！

2025-11-13 10:10

chow

感谢你的积极参与，期待更多精彩内容！

2025-11-12 17:44

z许

感谢你的积极参与，期待更多精彩内容！

2025-11-12 14:18

wx_blyatman

期待更多优质内容的分享，论坛有你更精彩！

2025-10-30 02:40

Fyw0o

感谢你的贡献，论坛因你而更加精彩！

2025-9-18 16:58

幸运三叶草

感谢你分享这么好的资源！

2025-9-16 16:32

蜉蝣129

期待更多优质内容的分享，论坛有你更精彩！

2025-9-9 15:02

Editor

感谢你分享这么好的资源！

2025-9-5 14:00

achenyuan

感谢你分享这么好的资源！

2025-8-29 17:17

Dy1an

期待更多优质内容的分享，论坛有你更精彩！

2025-8-21 15:31

mb_vmdpdaoc

期待更多优质内容的分享，论坛有你更精彩！

2025-8-20 11:20

mb_drqczcro

感谢你的贡献，论坛因你而更加精彩！

2025-8-20 09:11

mb_pqsatcjz

非常支持你的观点！

2025-8-17 23:48

mb_redpeicl

为你点赞！

2025-8-17 20:05

byrjx

感谢你分享这么好的资源！

2025-8-17 17:52

榆一

感谢你的贡献，论坛因你而更加精彩！

2025-8-16 14:40

ANormalUser

期待更多优质内容的分享，论坛有你更精彩！

2025-8-15 20:04

git_95311Aynanamiii

期待更多优质内容的分享，论坛有你更精彩！

2025-8-15 16:43

xyzliao

你的帖子非常有用，感谢分享！

2025-8-15 12:43

mb_yyoyxhil

期待更多优质内容的分享，论坛有你更精彩！

2025-8-15 12:11

长剑一杯酒

为你点赞！

2025-8-15 11:03

mb_wdhsjycl

为你点赞！

2025-8-15 10:02

mb_ytlbasky

非常支持你的观点！

2025-8-15 08:39

Mr.hack

你的帖子非常有用，感谢分享！

2025-8-15 03:53

yhuanhuan

谢谢你的细致分析，受益匪浅！

2025-8-14 13:36

走起来

感谢你分享这么好的资源！

2025-8-14 09:38

S极客

非常支持你的观点！

2025-8-14 02:56

kaokaoyou

你的帖子非常有用，感谢分享！

2025-8-14 01:01

wx_阿白_316

这个讨论对我很有帮助，谢谢！

2025-8-13 23:43

syser

非常支持你的观点！

2025-8-13 19:38

Monoceros406

这个讨论对我很有帮助，谢谢！

2025-8-13 19:37

Qfrost

+10

谢谢你的细致分析，受益匪浅！

2025-8-13 19:30

ⓦⓘⓣⓗⓔ

感谢你分享这么好的资源！

2025-8-13 17:51

陌上陌下

为你点赞！

2025-8-13 17:36

道友请留步

你的帖子非常有用，感谢分享！

2025-8-13 15:05

maxwudi

非常支持你的观点！

2025-8-12 23:40

涙涙涙

你的帖子非常有用，感谢分享！

2025-8-12 22:18

~self

谢谢你的细致分析，受益匪浅！

2025-8-12 21:31

b!@nk

感谢你分享这么好的资源！

2025-8-12 14:28

无极空间

感谢你的积极参与，期待更多精彩内容！

2025-8-12 13:55

mb_naisdqth

谢谢你的细致分析，受益匪浅！

2025-8-12 09:45

12321

感谢你的贡献，论坛因你而更加精彩！

2025-8-12 08:55

Morgion

谢谢你的细致分析，受益匪浅！

2025-8-12 08:25

UserXCh

为你点赞！

2025-8-12 08:14

wx_Sakura_214433

非常支持你的观点！

2025-8-12 02:08

friendanx

感谢你的积极参与，期待更多精彩内容！

2025-8-12 00:01

X66iaM

期待更多优质内容的分享，论坛有你更精彩！

2025-8-11 23:12

Eeeekbaby

为你点赞！

2025-8-11 19:00

git_67862ZacharyZcR

感谢你分享这么好的资源！

2025-8-11 16:03

AL10000

为你点赞！

2025-8-11 15:24

BenBenWen

非常支持你的观点！

2025-8-11 15:16

AlwaysBetter

这个讨论对我很有帮助，谢谢！

2025-8-11 14:11

mb_dzntuqwg

为你点赞！

2025-8-11 14:09

Asbeel

这个讨论对我很有帮助，谢谢！

2025-8-11 13:46

我的小拇指啊

你的分享对大家帮助很大，非常感谢！

2025-8-11 13:32

fanfall

你的分享对大家帮助很大，非常感谢！

2025-8-11 13:02

马来

期待更多优质内容的分享，论坛有你更精彩！

2025-8-11 12:18

bin.

感谢你的贡献，论坛因你而更加精彩！

2025-8-11 11:43

黑手鱼

谢谢你的细致分析，受益匪浅！

2025-8-11 11:32

0x指纹

感谢你分享这么好的资源！

2025-8-11 11:17

令狐双

为你点赞！

2025-8-11 10:51

mb_rveckyle

为你点赞！

2025-8-11 10:43

穗之影

非常支持你的观点！

2025-8-11 10:39

ldljlzw

期待更多优质内容的分享，论坛有你更精彩！

2025-8-11 10:36

煜凡

感谢你的积极参与，期待更多精彩内容！

2025-8-11 10:30

TkBinary

感谢你的贡献，论坛因你而更加精彩！

2025-8-11 10:01

木志本柯

谢谢你的细致分析，受益匪浅！

2025-8-11 09:40

btmanbtman

非常支持你的观点！

2025-8-11 08:58

mb_fllfoilg

感谢你的贡献，论坛因你而更加精彩！

2025-8-11 01:34

lpmjknj

感谢你的贡献，论坛因你而更加精彩！

2025-8-10 23:40

Brt

感谢你的积极参与，期待更多精彩内容！

2025-8-10 22:51

周旋久

为你点赞！

2025-8-10 22:17

顽劣

谢谢你的细致分析，受益匪浅！

2025-8-10 21:29

smallzhong_

你的分享对大家帮助很大，非常感谢！

2025-8-10 21:24

5m10v3

+10

这个讨论对我很有帮助，谢谢！

2025-8-10 21:23

咖啡_741298

为你点赞！

2025-8-10 21:14

huangyalei

期待更多优质内容的分享，论坛有你更精彩！

2025-8-10 21:08

mb_jweywsei

谢谢你的细致分析，受益匪浅！

2025-8-10 20:56

Liv_T

+10

为你点赞！

2025-8-10 20:43

fu11p7r

+10

你的分享对大家帮助很大，非常感谢！

2025-8-10 20:41

最新回复 (71) 1 2 3 ▶
smallzhong_ 雪币： 3765 活跃值： (6792) 能力值： ( LV5，RANK：65 ) 在线值：发帖 10 回帖 97 粉丝 177 关注私信	smallzhong_ 2 楼学习了 2025-8-10 21:24 0
zylyy 雪币： 144 活跃值： (2723) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 490 粉丝 3 关注私信	zylyy 3 楼学习了 2025-8-10 21:26 0
周旋久雪币： 1479 活跃值： (2251) 能力值： ( LV3，RANK：30 ) 在线值：发帖 2 回帖 21 粉丝 65 关注私信	周旋久 4 楼神墨水 2025-8-10 22:17 0
mb_ndttieme 雪币： 477 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 42 粉丝 0 关注私信	mb_ndttieme 5 楼这个讨论对我很有帮助，谢谢！ 2025-8-10 22:38 0
东城狂人雪币： 124 活跃值： (2245) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 73 粉丝 2 关注私信	东城狂人 6 楼学习学习 2025-8-10 22:55 0
烟云过客行雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	烟云过客行 7 楼学习 2025-8-10 23:35 0
逆向爱好者雪币： 3536 活跃值： (7804) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 280 粉丝 24 关注私信	逆向爱好者 8 楼 666666666666666666666666 2025-8-11 08:53 0
逆向爱好者雪币： 3536 活跃值： (7804) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 280 粉丝 24 关注私信	逆向爱好者 9 楼 22h2，这两个值默认都不为零，我修改成功注册后没效果 2025-8-11 10:01 0
moshuiD 雪币： 8892 活跃值： (4466) 能力值： (RANK：166 ) 在线值：发帖 9 回帖 35 粉丝 65 关注私信	moshuiD 3 10 楼逆向爱好者 22h2，这两个值默认都不为零，我修改成功注册后没效果看看是不是有什么驱动抢先注册了，第二个默认是0的 2025-8-11 10:36 0
逆向爱好者雪币： 3536 活跃值： (7804) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 280 粉丝 24 关注私信	逆向爱好者 11 楼 moshuiD 看看是不是有什么驱动抢先注册了，第二个默认是0的这个加零是一个函数，加8是八字节的1，函数是系统nto模块里面的。 2025-8-11 12:30 0
fengyunabc 雪币： 5366 活跃值： (6167) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 631 粉丝 27 关注私信	fengyunabc 1 12 楼感谢分享。 2025-8-11 12:46 0
moshuiD 雪币： 8892 活跃值： (4466) 能力值： (RANK：166 ) 在线值：发帖 9 回帖 35 粉丝 65 关注私信	moshuiD 3 13 楼逆向爱好者这个加零是一个函数，加8是八字节的1，函数是系统nto模块里面的。 1.确保系统是win10 且干净 2.加0就是系统自己的函数，这个是系统启动的时候设置的。 3.加8默认是0，如果有东西应该是其他驱动捣的鬼 2025-8-11 14:06 0
蜜蜂啊雪币： 600 活跃值： (3743) 能力值： ( LV4，RANK：42 ) 在线值：发帖 0 回帖 112 粉丝 1 关注私信	蜜蜂啊 14 楼谢谢分享 2025-8-11 15:19 0
wx_插曲雪币： 411 活跃值： (871) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 317 粉丝 24 关注私信	wx_插曲 15 楼谢谢分享 2025-8-11 15:26 0
method 雪币： 1920 活跃值： (8073) 能力值： ( LV5，RANK：70 ) 在线值：发帖 13 回帖 262 粉丝 134 关注私信	method 1 16 楼 1 2025-8-11 18:11 0
mb_pesxllvn 雪币： 378 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 122 粉丝 2 关注私信	mb_pesxllvn 17 楼 666 2025-8-11 18:19 0
末日大哥雪币： 1122 活跃值： (2141) 能力值： ( LV3，RANK：30 ) 在线值：发帖 10 回帖 154 粉丝 0 关注私信	末日大哥 18 楼 666学习一下 2025-8-11 19:30 0
dangluan 雪币： 0 活跃值： (4840) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 27 粉丝 0 关注私信	dangluan 19 楼谢谢分享 2025-8-11 19:45 0
mb_PdknGiIY 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_PdknGiIY 20 楼逆向爱好者 666666666666666666666666 可以私？ 2025-8-11 20:27 0
七夜大大雪币： 9436 活跃值： (8020) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 13 粉丝 1 关注私信	七夜大大 21 楼学习一下 2025-8-12 08:04 0
jinyurong 雪币： 205 活跃值： (863) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 72 粉丝 1 关注私信	jinyurong 22 楼学习一下 2025-8-12 08:32 0
wujimaa 雪币： 364 活跃值： (3082) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 210 粉丝 1 关注私信	wujimaa 1 23 楼 55555 2025-8-12 17:58 0
漆黑火焰魔法使雪币： 0 活跃值： (406) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 49 粉丝 0 关注私信	漆黑火焰魔法使 24 楼学习一下 2025-8-12 18:28 0
kagayaki 雪币： 2095 活跃值： (9215) 能力值： ( LV3，RANK：20 ) 在线值：发帖 178 回帖 1369 粉丝 30 关注私信	kagayaki 25 楼学习一下 2025-8-12 21:39 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

moshuiD

发帖

回帖

166

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (71) 1 2 3 ▶
smallzhong_ 雪币： 3765 活跃值： (6792) 能力值： ( LV5，RANK：65 ) 在线值：发帖 10 回帖 97 粉丝 177 关注私信	smallzhong_ 2 楼学习了 2025-8-10 21:24 0
zylyy 雪币： 144 活跃值： (2723) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 490 粉丝 3 关注私信	zylyy 3 楼学习了 2025-8-10 21:26 0
周旋久雪币： 1479 活跃值： (2251) 能力值： ( LV3，RANK：30 ) 在线值：发帖 2 回帖 21 粉丝 65 关注私信	周旋久 4 楼神墨水 2025-8-10 22:17 0
mb_ndttieme 雪币： 477 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 42 粉丝 0 关注私信	mb_ndttieme 5 楼这个讨论对我很有帮助，谢谢！ 2025-8-10 22:38 0
东城狂人雪币： 124 活跃值： (2245) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 73 粉丝 2 关注私信	东城狂人 6 楼学习学习 2025-8-10 22:55 0
烟云过客行雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	烟云过客行 7 楼学习 2025-8-10 23:35 0
逆向爱好者雪币： 3536 活跃值： (7804) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 280 粉丝 24 关注私信	逆向爱好者 8 楼 666666666666666666666666 2025-8-11 08:53 0
逆向爱好者雪币： 3536 活跃值： (7804) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 280 粉丝 24 关注私信	逆向爱好者 9 楼 22h2，这两个值默认都不为零，我修改成功注册后没效果 2025-8-11 10:01 0
moshuiD 雪币： 8892 活跃值： (4466) 能力值： (RANK：166 ) 在线值：发帖 9 回帖 35 粉丝 65 关注私信	moshuiD 3 10 楼逆向爱好者 22h2，这两个值默认都不为零，我修改成功注册后没效果看看是不是有什么驱动抢先注册了，第二个默认是0的 2025-8-11 10:36 0
逆向爱好者雪币： 3536 活跃值： (7804) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 280 粉丝 24 关注私信	逆向爱好者 11 楼 moshuiD 看看是不是有什么驱动抢先注册了，第二个默认是0的这个加零是一个函数，加8是八字节的1，函数是系统nto模块里面的。 2025-8-11 12:30 0
fengyunabc 雪币： 5366 活跃值： (6167) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 631 粉丝 27 关注私信	fengyunabc 1 12 楼感谢分享。 2025-8-11 12:46 0
moshuiD 雪币： 8892 活跃值： (4466) 能力值： (RANK：166 ) 在线值：发帖 9 回帖 35 粉丝 65 关注私信	moshuiD 3 13 楼逆向爱好者这个加零是一个函数，加8是八字节的1，函数是系统nto模块里面的。 1.确保系统是win10 且干净 2.加0就是系统自己的函数，这个是系统启动的时候设置的。 3.加8默认是0，如果有东西应该是其他驱动捣的鬼 2025-8-11 14:06 0
蜜蜂啊雪币： 600 活跃值： (3743) 能力值： ( LV4，RANK：42 ) 在线值：发帖 0 回帖 112 粉丝 1 关注私信	蜜蜂啊 14 楼谢谢分享 2025-8-11 15:19 0
wx_插曲雪币： 411 活跃值： (871) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 317 粉丝 24 关注私信	wx_插曲 15 楼谢谢分享 2025-8-11 15:26 0
method 雪币： 1920 活跃值： (8073) 能力值： ( LV5，RANK：70 ) 在线值：发帖 13 回帖 262 粉丝 134 关注私信	method 1 16 楼 1 2025-8-11 18:11 0
mb_pesxllvn 雪币： 378 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 122 粉丝 2 关注私信	mb_pesxllvn 17 楼 666 2025-8-11 18:19 0
末日大哥雪币： 1122 活跃值： (2141) 能力值： ( LV3，RANK：30 ) 在线值：发帖 10 回帖 154 粉丝 0 关注私信	末日大哥 18 楼 666学习一下 2025-8-11 19:30 0
dangluan 雪币： 0 活跃值： (4840) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 27 粉丝 0 关注私信	dangluan 19 楼谢谢分享 2025-8-11 19:45 0
mb_PdknGiIY 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_PdknGiIY 20 楼逆向爱好者 666666666666666666666666 可以私？ 2025-8-11 20:27 0
七夜大大雪币： 9436 活跃值： (8020) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 13 粉丝 1 关注私信	七夜大大 21 楼学习一下 2025-8-12 08:04 0
jinyurong 雪币： 205 活跃值： (863) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 72 粉丝 1 关注私信	jinyurong 22 楼学习一下 2025-8-12 08:32 0
wujimaa 雪币： 364 活跃值： (3082) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 210 粉丝 1 关注私信	wujimaa 1 23 楼 55555 2025-8-12 17:58 0
漆黑火焰魔法使雪币： 0 活跃值： (406) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 49 粉丝 0 关注私信	漆黑火焰魔法使 24 楼学习一下 2025-8-12 18:28 0
kagayaki 雪币： 2095 活跃值： (9215) 能力值： ( LV3，RANK：20 ) 在线值：发帖 178 回帖 1369 粉丝 30 关注私信	kagayaki 25 楼学习一下 2025-8-12 21:39 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复