-
-
[原创]绕过函数头INLINE HOOK
-
发表于: 2009-9-6 22:00
-
一直潜水 看大牛们的帖子 受益很多
最近比较闲 也来发几篇撮文 
高手就请路过吧。
绕函数头INLINE HOOK 方法比较简单 玩过INLINE HOOK的人应该都知道 
没有处理重定位 不过绕函数头的几个字节应该没什么问题
代码很烂 就不贴出来了 需要的朋友自己下载吧
附件是 VS2008 +DDKWizard 的 请自行编译 XP SP2下测试通过
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
做个大沙发,然后学习，膜拜。
|
|
|
|
|
|
|
|
|
|
|
|
进来看看，要是在帖子里有个说明原理的就好了
|
|
|
看这张图 就知道了
 第一个U 是正常函数的 第二个U 是打开冰刃后的 第三个U 是驱动里那个20字节 用来替代NtTerminateProcess函数的 首先 定位函数地址 转换为文件偏移 然后从原始文件读取相应的长度 最后加上一个跳转指令跳回去 就绕过了函数头inline hook 刚裁图发现代码里有个小错误 NOP 应该是0x90 。。
|
|
|
|
|
|
|
|
|
|
