【技术专题】一、Hook专题 c)APIHook - 上

ForeverLover · 发表于 2012-7-17 10:29:13

qq2278322 发表于 2012-7-17 10:24
那提升到ring0权限就行不用驱动？

驱动就是R0权限，提升到r0就可以操作内核了。但是你还需要会操作这些。

ForeverLover · 发表于 2012-7-17 10:30:45

qq2278322 发表于 2012-7-17 10:24
那提升到ring0权限就行不用驱动？

我们在应用层的钩子，一般只是起到一个拦截应用层消息的作用，如果你需要卸载其他应用层的钩子，那就是另外一回事了。

qq2278322 · 发表于 2012-7-17 10:35:39

|流年灬一逝| 发表于 2012-7-17 10:30
我们在应用层的钩子，一般只是起到一个拦截应用层消息的作用，如果你需要卸载其他应用层的钩子，那就是另 ...

呵呵我那时候用XURTR找到那个消息钩子的句柄我就随便写了个程序就把钩子卸载掉了主要还是句柄!

ForeverLover · 发表于 2012-7-17 11:03:20

qq2278322 发表于 2012-7-17 10:35
呵呵我那时候用XURTR找到那个消息钩子的句柄我就随便写了个程序就把钩子卸载掉了主要还是句柄!

知道句柄的情况下是很容易卸载的，使用API函数就可以，句柄还是存在于内核的，应用层无法获取。

qq2278322 · 发表于 2012-7-17 11:14:39

|流年灬一逝| 发表于 2012-7-17 11:03
知道句柄的情况下是很容易卸载的，使用API函数就可以，句柄还是存在于内核的，应用层无法获取。

嗯 OD调试也可以看句柄!

ForeverLover · 发表于 2012-7-17 11:18:21

qq2278322 发表于 2012-7-17 11:14
嗯 OD调试也可以看句柄!

OD虽然是调试器，但是作用最突出的还是它的监视作用，程序的每一个动作都被监视着，用API设置钩子的时候，OD就已经获取了句柄。他不是根据内核获取的，而是根据内核返回给程序而获取的。

朴圣佑 · 发表于 2012-7-17 11:36:23

无条件支持！！！！！！！！！！

qq2278322 · 发表于 2012-7-17 11:37:52

|流年灬一逝| 发表于 2012-7-17 11:18
OD虽然是调试器，但是作用最突出的还是它的监视作用，程序的每一个动作都被监视着，用API设置钩子的时候， ...

那可不可以写程序把内核返回给他的句柄截取到呢

ForeverLover · 发表于 2012-7-17 13:15:52

本帖最后由 |流年灬一逝| 于 2012-7-17 13:17 编辑

qq2278322 发表于 2012-7-17 11:37
那可不可以写程序把内核返回给他的句柄截取到呢

当然可以，你可以对其进程进行APIHook，当然这要注入DLL后，这个以后在本专题里有可能会介绍到截取API返回值的章节。

qq2278322 · 发表于 2012-7-17 13:39:58

|流年灬一逝| 发表于 2012-7-17 13:15
当然可以，你可以对其进程进行APIHook，当然这要注入DLL后，这个以后在本专题里有可能会介绍到截取API返回 ...

嗯哈说着说着还是与方法不用内核弄到句柄嘛期待你的教程！谢谢啦

		自动登录	找回密码
密码			注册

[技术专题] 【技术专题】一、Hook专题 c)APIHook - 上