【首发但非原创】支持x64,反一切R3下的常规Hook，完全基于Baby大佬的KiFastSystemCall

1185384801 · 发表于 2019-8-25 16:54:33

本帖最后由 1185384801 于 2019-8-25 17:36 编辑

前言

以“OpenProcess”这个大家熟悉的API为例子：
程序若其中任意一步被Hook，则相当于“OpenProcess”被Hook了

但是，这也启发了我们一些东西，假如我们去直接用SSDT编号调用Api的话，是不是相当于接近了内核，那么直接Hook“OpenProcess”或者“ZwOpenProcess”是也无效了？（理论上，这个方法可以绕过R3下一切的常规Hook，我们根本没有调用“ZwOpenProcess”，IAT，EAT钩子理论上全部失效！）

首先先编写好代码：
- 没有Hook下直接调用ZwSuspendProcess：
- 有Hook的情况下：
- 这时调用KiSuspendProcess：
- 你会发现，Hook根本对它没有效果，程序任然按照计划执行的

KiFastSystemCall.zip (117.31 KB, 下载次数: 822)

なす随风ぬね · 发表于 2024-9-7 21:02:03

新技能已get√

liaoxiaohu · 发表于 2023-10-23 09:40:25

6666666666666

易夫 · 发表于 2023-7-30 00:08:36

支持开源~！感谢分享

xiaoyingryf · 发表于 2023-7-22 11:32:31

支持开源~！感谢分享

xiaoyingryf · 发表于 2023-7-22 11:31:28

在X64下有PG，R3下Hook是否是伪命题？

xiaoyingryf · 发表于 2023-7-22 11:30:22

支持开源~！感谢分享

why123yty · 发表于 2023-6-10 16:53:25

66666666666666666666666

963485005 · 发表于 2023-2-23 20:29:45

看看吧6666

HmbGK · 发表于 2023-1-10 20:31:12

支持开源~！感谢分享

小蚕 · 发表于 2022-10-12 19:22:59

支持开源~！感谢分享

		自动登录	找回密码
密码			注册