-
-
[原创]打造自己的HOOK引擎 之一 --- SSDT HOOK引擎
-
发表于: 2008-12-22 21:50
-
|
|
|---|---|
|
|
这也太...
ssdt hook还需要引擎啊??? 就是替换一个表..... 
|
|
|
 本来就是写着方便自己学习的 大米见笑了。。。 其实就是一个HOOK接口 方便自己调用 呵呵 SSDT的是简单了点 Inline就复杂一点了 类型多种多样 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
ssdt hook怎么不需要引擎了？ 这个完全同意，一个好的hook引擎主要是处理hook chain的dispatch，还有针对不同参数的的hookee的处理，还要随时能够安全的append to chain, pop out of chain，during call。 感谢指点 学习之。。。  有点意思，但代码中有一个低级错误。 请问哪里出现了错误，希望网上勇士能提出来 谢谢了 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
感谢qihoocom和halfsoul的指点！
第一点还不是很明白，对ClientID不是做了判空检查了吗？还需要什么其他的检查吗？我看WRK的源码也只是用ARGUMENT_PRESENT做了下判空检查而已。。。不懂 第二点的确是个低级错误，现已修正。这两段代码都是我从网上拷过来的，做了点小的修改，对引擎做个测试用的。测试通过了也就没有注意这么多了。。 第三点倒没有想到，的确会出现严重的问题。我是在干净的虚拟机系统做的实验，所以没有出现什么问题。我目前想到的解决方法是，在InitSerices()中检查SSDT，对于已挂钩的表项不做处理，HookService的时候直接返回错误，不对这些做HOOK。这种方法应该比较安全。不知道有没有更好的方法？ |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
奇怪。。。
添加了对ClientId的检测代码后
PreMode = KeGetPreviousMode();
if(PreMode != KernelMode)
{
__try
{
ProbeForRead(ClientId, sizeof(CLIENT_ID), sizeof(ULONG));
}
__except(EXCEPTION_EXECUTE_HANDLER)
{
return GetExceptionCode();
}
}
出现编译错误:error C4013: 'KeGetPreviousMode' undefined; assuming extern returning int KeGetPreviousMode明明就在ntddk.h中定义了嘛
|
|
|
|
|
|
|
|
|
恩 已作修改。感谢~~！ 
最好的方法就是对于已HOOK的表项就不HOOK了。。。  暂时就这样实现了
|
|
|
|
