过XX保护之 InLine Hook

最新推荐文章于 2023-03-25 21:20:43 发布
原创 最新推荐文章于 2023-03-25 21:20:43 发布 · 1.5k 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#inlineHook

本文探讨了如何检测到TeSafe.sys守护线程，并详细介绍了如何通过重载内核尝试解除Inline Hook，以及最终采取普通Inline Hook方法绕过特定系统函数的钩子，如NtOpenProcess、NtOpenThread等。同时，提到了后续将面临的KiAttachProcess、双机调试等问题，强调了逆向工程和调试技能的学习需求。
1--查看系统进程中的线程，发现有属于TeSafe.sys的线程，初步推测为守护线程。
        2--系统回调，具体功能不予说明。 图片
3-- SSDT  发现有3个Inline hook函数
最低0.47元/天 解锁文章
二、C++反作弊对抗实战 (进阶篇 —— 14.利用内存加载+重定向绕过inline iat hook)
Koma的主页
03-04 1675
这一章节将详细的讲述《如何从一个DLL的资源中使用内存的方式加载另一个DLL》
软件安全之Hook 技术 Inline Hook技术应用 TraceMe.exe
SKPrimin的博客
12-12 3501
Hook 技术 实验须知 1实验说明 Hook 是在指令的关键位置插入特定代码，以干预程序原有的执行流程，实现拦截目标进程运行过程的关键信息改变目标进程原本执行流程等目的。 2实验目的 本实验使用 Inline Hook 技术，挂钩 [raceMe.exe百度网盘地址(提取码1111)中计算序列号的代码，获取正确的序列号，加深对 Hook 技术的理解。 3实验原理 Hook Hook∶中文译作"挂钩"或"钩子"，在指令执行的关键位置插入特定代码，以干预程序原有的执行流程，实现拦截目标进程运行过程的关键信
kernel inline hook 绕过vice检测
03-21 2632
创建时间：2005-11-05文章属性：原创文章提交：jqzmb (jqzmb_at_163.com)kernel inline hook 绕过vice检测                   uty@uaty                       zmba@tom.com在user mode的inline hook比较好用,因为很少有多线程的问题,所以可以采用把API前5字节改为跳转指令到
A盾学习笔记（2）反inlinehook
kernweak的博客
07-06 559
下面学习下反inlinehook 在工程的AntilineHook.c里 总体思路就是找到jmp指令，判断是不是被inlinehook的跳转，然后自己重载了内核之后，把原来被感染inlinehook跳过去执行的函数的地址位置，再hook成我们重载正常的的函数地址，实现反inlinehook，我还以为要把污染的hook拷贝成正常code。 VOID AntiInlineHook(WCHAR ...
绕过ring3下inline hook
03-19
绕过ring3下inline hook...delphi源码！非常有借鉴价值。
Windows 内核API HOOK 之 Inline Hook
风随影动的专栏
07-16 751
<br />转自http://www.cnblogs.com/dflower/archive/2009/09/21/1571006.html<br />来源：优快云   作者：daiwen<br />名字起得好，Inline hook，乍一听，似乎很高深。此处的Inline，我以为，意指将汇编代码直接写入内核API的内存区域。Inline Hook不像用户态Hook或SSDT hook（用C语言就足够），它需要在程序中嵌入汇编代码（Inline Assembly）以操作堆栈和执行内核API对应的部
简单linux 下 x64任意地址的inlinehook
liutianheng654的博客
03-25 1706
相对主流工具frida，更加快速的inlinehook，代码简单，可以针对性进行修改
64位下的InlineHook
weixin_30684743的博客
08-11 2117
目录 x64下手工HOOK的方法 一丶HOOK的几种方法之远跳 1. 远跳 不影响寄存器 + 15字节方法 2.远跳 影响寄存器 + 12字节方法 3.影响寄存器,恢复寄存器 进行跳转. 4. 常用 jmp + rip方式跳转 大小6个字节 ...
HOOK钩子技术1 inline HOOK内联钩子
Catch me if you can
05-02 4615
内联钩子改变函数的第一条指令，通过跳板跳到伪造的函数上。 函数在使用过程中有时候要执行本身已经挂钩的函数，这样就需要先解钩。
[Hook技术]利用inlineHook来实现快速破解易语言程序
qq_23730575的博客
09-02 7013
前几天笔者在逆向一个易语言写的身份证生成器程序的时候,发现易语言的各种函数都是经过封装过的,包括文本比较,字节集比较等敏感的功能函数全都是经过封装的,并且功能特征码无论哪个版本的易语言还完全相同... 现在网上的一些易语言特征码根本不可靠,只要把代码稍微VM一下,特征码就找不到了,在此,笔者稍微研究了一下易语言库函数调用过程: 测试程序的源码如下: ![易语言测试程序代码](https://img...
InlineHOOK
10-10
功能实现inlinehook保护.原理上很简单的东西，但我想很多新手都苦于找不到完整的示例 代码，下面就是一份完整的代码 inline hook原理大概如下: 修改被HOOK函数A的头5个字节，使其跳转到我们自定义的函数B，函数B的类型与函数A要相同。因为我们是使用JMP直接跳转到函数B， 而不是使用正常的CALL指令。在函数B内，我们可以检查函数参数，然后可以直接返回。也可以再调用函数A的一个副本。这个副本在HOOK动作发生的同时，就保存下来了。
易语言PC微信（V2.6.7.57）HOOK示例
04-19
程序使用易语言对PC微信V2.6.7.57版本做了一个HOOK的演示。提供e语言HOOK的源代码。
API hook(inline)超简入门代码
07-20
简单的API hook的入门用代码参考，hook目标MessageBoxW。hook形式：inline hook
易语言源码易语言APIHOOK源码.rar
03-30
易语言源码易语言APIHOOK源码.rar 易语言源码易语言APIHOOK源码.rar 易语言源码易语言APIHOOK源码.rar 易语言源码易语言APIHOOK源码.rar 易语言源码易语言APIHOOK源码.rar 易语言源码易语言APIHOOK源码.rar
inline hook ObReferenceObjectByHandle 程序代码
05-25
windows 驱动层，inline hook 简单的示例程序。其实是看了“详谈内核三步走Inline Hook实现“，网上的一篇文章做的一个示例程序，只做了第一个， hook ObReferenceObjectByHandle.里面还有一个说明文件。我想这可以作为inline hook 的入门，找找感觉。
简单的INLINE HOOK检测
cackeme的专栏
09-24 4296
/*  @desc:目前只检测最简单的两种inline hook,对IAT HOOK,CALL HOOK和深层次的INLINE HOOK没检测。  @desc:最好的恢复方法是先恢复IAT HOOK,然后从函数所在文件中提取函数机器码与内存中对比，不同则恢复之  @param1[in]:dwProc:函数地址 */ bool IsProcHooked(DWORD dwProc) {
inline hook KiFastCallEntry
Sunny_wwc的专栏
10-14 4619
#include "ntddk.h"#include "sysenterhook.h"#if DBG#define dprintf DbgPrint#else#define dprintf(x)#endif#define BYTE unsigned char #define MEM_TAG 'CQ'#define NT_DEVICE_NAME L"//Device//sysenterhook"#define DOS_DEVICE_NAME L"//DosDevices//sysenterhook"NTSTA
KiFastCallEntryHook
拉塞尔的博客
04-10 1096
     先根据SSDTHook给SSDTTableBase下钩子(Hook掉NtSetEvent函数)，然后通过调用ZwSetEvent函数进入FakeSetEvent函数，在FakeSetEvent函数中我们通过栈回溯(ebp+4)找到主调函数KiFastCallEntry的EIP(KiFastCallEntry函数Call NtXX函数指令的下一条指令处,被调函数执行完后主调函数会从EIP中...
inline hook简介
xiaoqiangvs007的专栏
04-22 1394
inline hook简介 2011-07-24 19:49 1、简介          INLINE HOOK原理：         Inline Hook通过硬编码的方式向内核API的内存空间（通常是开始的一段字节，且一般在第一个call之前，这么做是为了防止堆栈混乱）写入跳转语句，这样，该API只要被调用，程序就会跳转到我们的函数中来，我们在自己写的函数里需要
Hook拦截
最新发布
10-31
- **跳板指令**：用`JMP`指令覆盖函数入口（典型指令：`E9 xx xx xx xx`） - **上下文保存**：通过`PUSHAD/POPAD`保存寄存器状态[^1] - **地址重定位**：处理ASLR（地址空间随机化）问题 #### 二、应用场景 1. ...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值