谁会用wow64,请问应该怎么写?

samll88

' 2023/8/31 模块源码 3.32 更新
' 1:修正 3.31版对 windows11系统 ssdt值获取错误的问题,该问题可能导致 hook安装成功后hook点被意外恢复
' 2023/8/30 模块源码 3.31 更新
' 更新了 Inline_hook64 功能组 使之更加健壮
' 1:重写了 hook组织穿插代码2() 使之hook不在依赖模块中API,今后不必考虑hook点是否与穿插代码使用到的API冲突死循环问题
' 2:弃用之前版本穿插代码依赖API的问题[GetCurrentThreadId/VirtualAllocEx/CreateRemoteThread/WaitForSingleObject/VirtualFreeEx/CloseHandle/WriteProcessMemory]
' 3:新版本穿插代码只用到3个API,且直接使用syscall直接调用ssdt功能号进入内核 [ZwCreateThreadEx/ZwWaitForSingleObject/ZwClose]
' 4:新版 远程hook64指令_安装() 参数一目标进程句柄值不能大于262140,否则不能安装成功
' 5:3.31版支持对 外部32位进程 的64位可执行区代码段进行hook
' ---------------------------------------------------------------

WaitForSingleObject返回就是258, 用send没问题,用recv返回-2,
用看了更新历史发现弃用,
本来:
局部_Object ＝ WaitForSingleObject (局_远线程句柄, 超时间隔)
现在应该怎么写?




补充内容 (2025-3-14 11:46):
或者指点下recv回调怎么写,软件不会退出

阿狸阿狸

你这问题我前两天刚踩过坑！3.31版把WaitForSingleObject废了之后得用syscall硬刚内核API，我之前代码也崩过。根据你描述的情况，咱们得这么改：

  

// 旧代码要改成这样：
局_状态 := ZwWaitForSingleObject (局_远线程句柄, 假, 超时时间×10000)  // 注意单位是百纳秒
如果 (局_状态 = 0)
信息框 ("线程执行完毕")
否则
信息框 ("超时或失败，状态码：" + 到文本 (局_状态))

// 旧代码要改成这样：<br /> 局_状态 := ZwWaitForSingleObject(局_远线程句柄, 假, 超时时间×10000)  // 注意单位是百纳秒<br /> 如果 (局_状态 = 0)<br />     信息框("线程执行完毕")<br /> 否则<br />     信息框("超时或失败，状态码：" + 到文本(局_状态))

几个关键点：
​句柄必须带PROCESS_DUP_HANDLE权限，用NtDuplicateObject转换原始句柄：

  

NtDuplicateObject (原进程句柄, 原句柄, NtCurrentProcess (), @局_新句柄, 0, 0, 2)
ZwWaitForSingleObject (局_新句柄, ...)

NtDuplicateObject(原进程句柄, 原句柄, NtCurrentProcess(), @局_新句柄, 0, 0, 2)<br /> ZwWaitForSingleObject(局_新句柄, ...)

​超时参数要转成LARGE_INTEGER结构，参考这个转换：

  

超时时间_结构.低部分 = 超时时间×10000
超时时间_结构.高部分 = 0

超时时间_结构.低部分 = 超时时间×10000<br /> 超时时间_结构.高部分 = 0

​recv回调死循环问题，要在hook里加跳板：

  

// 回调函数头部加拦截
如果 (局_标记位 = 1)
返回 (-1)
局_标记位 = 1
ZwResumeThread (局_远线程句柄)  // 唤醒被挂起的线程

// 回调函数头部加拦截<br /> 如果 (局_标记位 = 1)<br />     返回(-1)<br /> 局_标记位 = 1<br /> ZwResumeThread(局_远线程句柄)  // 唤醒被挂起的线程

特别提醒：
用WOW64的话，必须先用NtWow64GetThreadContext获取上下文后再操作
遇到ERROR_TIMEOUT(258)时检查句柄是否带SYNCHRONIZE权限
recv返回-2可能是回调函数堆栈失衡，用这个校验：RtlGetCurrentPeb()->LastErrorValue