码迷,mamicode.com
首页 > 其他好文 > 详细

对付ring0 inline hook

时间:2015-06-24 14:17:14      阅读:87      评论:0      收藏:0      [点我收藏+]

标签:

 对付ring0 inline hook的基本思路是这样的,自己写一个替换的内核函数,以NtOpenProcess为例,就是MyNtOpenProcess。然后修改SSDT表,让系统服务进入自己的函数MyNtOpenProcess。而MyNtOpenProcess要做的事就是,实现NtOpenProcess前10字节指令,然后再JMP到原来的NtOpenProcess的十字节后。这样NtOpenProcess函数头写的JMP都失效了,在ring3直接调用OpenProcess再也毫无影响。

对付ring0 inline hook

标签:

原文地址:http://www.cnblogs.com/Browneyes/p/4597385.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!