3.ring0-STDCALL inline HOOK 和 declspec(naked) inline HOOK区别

最新推荐文章于 2023-08-11 15:32:35 发布

原创最新推荐文章于 2023-08-11 15:32:35 发布 · 4.5k 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#数据结构 #windows #文档 #工作 #c

安全 (ring0) 专栏收录该内容

6 篇文章

订阅专栏

本文详细对比了两种函数Hook技术：__STDCALLinlineHOOK与__declspec(naked)inlineHOOK。前者适用于整个函数的Hook操作，变量清晰但仅限于函数头部；后者则允许在函数任意位置进行Hook，虽然使用起来更为灵活，但在使用变量时必须通过寄存器。文章通过具体示例阐述了这两种技术的特点。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

两者差别

1.__STDCALL inline HOOK是针对整个函数的hook，好处是变量清楚,坏处时肯定只能在函数头hook

NTSTATUS __stdcall
NewNtQueryDirectoryFile(
						IN HANDLE FileHandle,
						IN HANDLE Event OPTIONAL,
												.......
					  )
{
return OldNtQueryDirectoryFile(FileHandle,\
									 Event,
									 ApcRoutine,
											 ........)

2.__declspec(naked) inline HOOK是针对函数局部的hook，好处是可以在任意处做hook，坏处是使用变量时只能用寄存器，看起来怪怪的

__declspec(naked) FASTCALL NewKiReadyThread()
{
	__asm
	{
		pushad
		pushfd
 
		push ecx //ETHREAD object 取出线程的入口地址
		call IsGameProtectModuleThread
		cmp eax,0
		jnz _ThreadRet
 
		popfd
		popad
		jmp [KiReadyThreadHookZone]
 
_ThreadRet:
		popfd
		popad
		ret
	}
}