typedef  NTSTATUS  (*PMyZwCreateSection)(
                                OUT PHANDLE  SectionHandle,
                                IN ACCESS_MASK  DesiredAccess,
                                IN POBJECT_ATTRIBUTES  ObjectAttributes ,
                                IN PLARGE_INTEGER  MaximumSize ,
                                IN ULONG  SectionPageProtection,
                                IN ULONG  AllocationAttributes,
                                IN HANDLE  FileHandle
                                );  

static PMyZwCreateSection g_old_section = NULL;

static  NTSTATUS  MyZwCreateSection(OUT PHANDLE  SectionHandle,
                                                                                           IN ACCESS_MASK  DesiredAccess,
                                                                                           IN POBJECT_ATTRIBUTES  ObjectAttributes ,
                                                                                           IN PLARGE_INTEGER  MaximumSize ,
                                                                                           IN ULONG  SectionPageProtection,
                                                                                           IN ULONG  AllocationAttributes,
                                                                                           IN HANDLE  FileHandle )
{

        KdPrint(("ZwCreateSection Call..."));
        //__asm jmp g_old_section
        return (*g_old_section)(
                SectionHandle,
                DesiredAccess,
                ObjectAttributes,
                MaximumSize,
                SectionPageProtection,
                AllocationAttributes,
                FileHandle);
}

NTSTATUS HookOrUnHook(BOOLEAN bHook)
{
        UNICODE_STRING functionname;
        UCHAR *address = NULL;

        RtlInitUnicodeString(&functionname,L"ZwCreateSection");

        address = MmGetSystemRoutineAddress(&functionname);
        if (address == NULL)
        {
                return STATUS_UNSUCCESSFUL;
        }

        if (bHook)
        {
                g_old_section = (PMyZwCreateSection)(*(PLONG)(address + 2));
                InterlockedExchange((PLONG)(address + 2),MyZwCreateSection);
                return STATUS_SUCCESS;
        }
        else
        {
                if (g_old_section != NULL)
                {
                        InterlockedExchange((PLONG)(address + 2),g_old_section);
                        return STATUS_SUCCESS;
                }
                return STATUS_UNSUCCESSFUL;
        }
}

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！