首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[原创]Win11 26H1内核异常体系分析与实验：提前接管用户态、内核态异常，实现无痕Hook、进程保护、反调试，附PoC
发表于: 2026-9-7 01:24 14778

[原创]Win11 26H1内核异常体系分析与实验：提前接管用户态、内核态异常，实现无痕Hook、进程保护、反调试，附PoC

__Shinn 活跃值
2
2026-9-7 01:24
14778

查看主题内容

收藏
点赞 ・166
打赏
分享
最新回复 (126)
lukarl
雪    币： 24
活跃值： (1589)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
101 楼
6
2026-9-26 19:38
0
nbwvpn
雪    币： 0
活跃值： (165)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
102 楼
学习了
2026-9-27 22:26
0
逆向爱好者
雪    币： 3128
活跃值： (8044)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
103 楼
牛逼牛逼牛逼牛逼牛逼
2026-9-27 22:38
0
jilvan
雪    币： 4225
活跃值： (1502)
能力值： ( LV8，RANK：125 )
在线值：
发帖
回帖
粉丝
私信
104 楼
学习了
2026-9-27 23:01
0
不飞
雪    币： 6
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
105 楼
匠心手搓优质好文
2026-9-28 00:06
0
会翻滚的土豆
雪    币： 75
活跃值： (760)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
106 楼
666666666666
2026-9-28 17:08
0
nssn
雪    币： 212
活跃值： (1017)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
107 楼
666
2026-10-1 10:24
0
Chxe
雪    币： 201
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
108 楼
1
2026-10-1 20:05
0
mb_xqptnehm
雪    币： 4
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
109 楼
666
2026-10-3 13:11
0
mb_uucvhirr
雪    币： 0
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
110 楼
1
2026-10-4 11:33
0
像个假号
雪    币： 45
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
111 楼
经过多次测试 使用 PsPicoDispatchException 注册异常会导致PG . 挂壁留下了眼泪
2026-10-5 16:30
0
夏洛魂
雪    币： 570
活跃值： (4850)
能力值： ( LV3，RANK：37 )
在线值：
发帖
回帖
粉丝
私信
112 楼
学习了
2026-10-8 19:29
0
冰凡弍
雪    币： 168
活跃值： (375)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
113 楼
匠心手搓优质好文
2026-10-10 01:03
0
mb_hakcengu
雪    币：
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
114 楼
6
2026-10-10 09:09
0
wx_IT_717
雪    币： 3097
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
115 楼
感谢分享                    
2026-10-10 09:46
0
mb_nallsbir
雪    币： 323
活跃值： (60)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
116 楼
异常都能抢，太牛了
2026-10-11 18:44
0
小希希
雪    币： 3029
活跃值： (5935)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
117 楼
mark
2026-10-11 20:34
0
mb_dvqkhejs
雪    币： 200
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
118 楼
太强了.学习一下.
2026-10-12 17:00
0
mb_hfjfruhl
雪    币： 409
活跃值： (225)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
119 楼
666
2026-10-13 09:51
0
浅笑那离别
雪    币： 51
活跃值： (131)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
120 楼
学习学习
2026-10-13 17:40
0
mb_niimcqnj
雪    币： 467
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
121 楼
多谢分享
2026-10-14 16:03
0
~self
雪    币： 313
活跃值： (550)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
122 楼
虽然对大家来说这些应该已经是老黄历了，不过还是感谢总结。

关于这种复制一份代码做hook的方法，可以参考一下 gum relocator 的处理。不过这个只能保证复制出来的代码语义正确，做不到无痕。至于为什么做不到，扩展一下都可以单独成文了，此处就不多废话。

要读取从 prologue 保存的volreg，除了写死和动态disasm还有另一种做法，从 RUNTIME_FUNCTION 读 UNWIND_CODE（其实就是 RtlVirtualUnwind，需要目标平台支持比如 amd64/arm64）。
2026-10-15 21:38
1
__Shinn
雪    币： 2841
活跃值： (1655)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
123 楼
~self 虽然对大家来说这些应该已经是老黄历了，不过还是感谢总结。 关于这种复制一份代码做hook的方法，可以参考一下 gum relocator 的处理。不过这个只能保证复制出来的代码语义正确，做不到无 ...
感谢建议，利用x64 .pdata中的异常信息来解析序言代码，这个思路确实值得一试，当时做PoC的时候，针对的是某些小范围的具体系统版本，所以堆栈解析部分直接硬编码了
2026-10-16 15:15
0
叶辰
雪    币： 9
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
124 楼
2026-10-19 13:41
0
夜惜风雨
雪    币： 95
活跃值： (3852)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
125 楼
6666666666
2026-10-20 14:57
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回