-
-
[原创]inline hook未导出函数PspTerminateProcess
-
发表于: 2008-4-3 16:18
-
|
|
|---|---|
|
|
|
|
|
学习学习
|
|
|
|
|
|
SDTRecover 1.20 里面有完整的code。
你在坛子里搜索下就有了。 得到地址后用strncmp比较一下是不是你关心的NtXXX，是的话就保存，然后传地址到驱动中，也可以写到注册表中，加密下，效果更好。 
|
|
|
sudami兄...你那个bin在我机器运行不正常....不知道是什么原因
|
|
|
|
|
|
Sysnap你好又来麻烦你了
你的文章非常好,跟那你学的文章已经基本学明白了。 在这篇文章里我有个小问题,想请教下  在Unload中 _asm { CLI MOV eax, CR0 AND eax, NOT 10000H MOV CR0, eax pushad mov edi, PspTerminateProcess mov eax, dword ptr Code[0] mov [edi], eax mov al, byte ptr Code[4] mov [edi+4], al popad MOV eax, CR0 OR eax, 10000H MOV CR0, eax STI } 你是怎么把数组Code[1],Code[2],Code[3]送给PspTerminateProcess的，我就看懂了 你把code[0],code[4]送给了eax和edi+4呀。 虽然可以用RtlCopyMemory (PspTerminateProcess,Code,5);代替 由于我的汇编上不了桌，只好来请教.  另附，程序测试成功，我在用冰刃Advanced scan是扫描出来，但不一会就蓝屏了. |
|
|
 --------------------Configuration: inline - Win32 Free--------------------Compiling with DDK compiler... src.c C:\inlinehook\driver\src.c(138) : warning C4047: 'return' : 'PVOID' differs in levels of indirection from 'ULONG' C:\inlinehook\driver\src.c(241) : warning C4022: 'memcpy' : pointer mismatch for actual parameter 1 C:\inlinehook\driver\src.c(294) : warning C4047: '=' : 'ULONG' differs in levels of indirection from 'PVOID' c:\inlinehook\driver\src.c(144) : warning C4715: 'GetUndocumentFunctionAdress' : not all control paths return a value Linking with DDK linker... ---------------------------Build SoftICE Symbols---------------------------- Compuware NM32 Symbol Translator/Loader version 4.3.2 (C) Compuware Corporation, 1996-2004 MODULE=.\objfre\i386\inline.sys PROMPT=OFF SoftICE is not active Translation of C:\inlinehook\Driver\objfre\i386\inline.sys successfully completed inline.sys - 0 error(s), 4 warning(s)
|
|
|
暴力搜索容易被BSOD,建议解析ntosxxx.exe 安全些
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
