-
-
[讨论]驱动,如何保护窗口信息不被其他进程访问和修改
-
发表于: 2007-11-16 17:46
-
跟踪GetWindowText
流程:
首先大概是一个seh设置函数
然后检查参数,并填充0
然后进入一个窗口查询函数,内部调用systemcall 1248(据估计是查询窗口能否能被访问)
根据call返回值返回失败或继续.
再根据HWND算出一个偏移值,指向窗口结构 调用call 11e3(这个call不知道干什么的,好像没做什么事情)
最后是在结构中计算出TEXT偏移,然后unicode转换copy等等
目前问题是
1248和11e3据查资料的情况来看,应该是属于KeServieDescriptorTableShadow里面的
不知道如何得到该表进行hook
另外就是哪里可以找到win32k.sys内部函数的资料
流程:
首先大概是一个seh设置函数
然后检查参数,并填充0
然后进入一个窗口查询函数,内部调用systemcall 1248(据估计是查询窗口能否能被访问)
根据call返回值返回失败或继续.
再根据HWND算出一个偏移值,指向窗口结构 调用call 11e3(这个call不知道干什么的,好像没做什么事情)
最后是在结构中计算出TEXT偏移,然后unicode转换copy等等
目前问题是
1248和11e3据查资料的情况来看,应该是属于KeServieDescriptorTableShadow里面的
不知道如何得到该表进行hook
另外就是哪里可以找到win32k.sys内部函数的资料
|
|
|---|---|
|
|
 没人研究 自己来0x1248->0x248->584 NtUserValidateHandleSecure 0x11e3->0x1e3->483 NtUserQueryWindow 下面是usermode抓的service call 可能不完整 GetWindowTextA=>Call service 00001248 =>Call service 000011E3 =>End GetWindowTextW=>Call service 00001248 =>Call service 000011E3 =>End |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
NtUserBuildHwndList
NtUserWindowFromPoint NtUserGetForegroundWindow 不过spy++用GetWindow还能找到,再深挖一下  只要你能做到不让别的程序得到hwnd大概就差不多了 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
