unhook——如何得到原始派遣函数的地址

HookDiskSys函数解析

最新推荐文章于 2020-06-24 09:17:10 发布

原创最新推荐文章于 2020-06-24 09:17:10 发布 · 695 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#string

windows底层核心編程专栏收录该内容

743 篇文章

订阅专栏

本文介绍了一个名为HookDiskSys的函数实现细节。该函数通过引用内核对象名称来获取磁盘系统对象，并对其进行修改，包括替换旧的磁盘写入、设备控制及内部控制函数。在确保对象有效的情况下，使用自旋锁保护关键区域，完成函数地址的更新。

__int32 __cdecl HookDiskSys()
{
__int32 result; // eax@1
KIRQL v1; // al@3
UNICODE_STRING DestinationString; // [sp+0h] [bp-Ch]@1
KSPIN_LOCK SpinLock; // [sp+8h] [bp-4h]@3

RtlInitUnicodeString(&DestinationString, L"//Driver//Disk");
result = ObReferenceObjectByName(&DestinationString, 64, 0, 0, IoDriverObjectType, 0, 0, &DiskSysObject);
if ( result >= 0 )
{
    result = (__int32)DiskSysObject;
    if ( DiskSysObject )
    {
      OldDiskWrite = *((_DWORD *)DiskSysObject + 18);
      OldDiskDeviceControl = (int (__stdcall *)(_DWORD, _DWORD))*((_DWORD *)DiskSysObject + 28);
      OldDiskIntenalControl = *((_DWORD *)DiskSysObject + 29);
      KeInitializeSpinLock(&SpinLock);
      v1 = KfAcquireSpinLock(&SpinLock);
      *((_DWORD *)DiskSysObject + 18) = NewDiskWrite;
      *((_DWORD *)DiskSysObject + 28) = NewDiskDeviceControl;
      *((_DWORD *)DiskSysObject + 29) = NewDiskWrite;
      KfReleaseSpinLock(&SpinLock, v1);
      result = ObfDereferenceObject(DiskSysObject);
    }
}
return result;
}