为何HS可以在Win8 x64进行ObjectHook？

最新推荐文章于 2024-05-03 13:41:06 发布
最新推荐文章于 2024-05-03 13:41:06 发布
阅读量814 收藏
点赞数
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/u012187684/article/details/20038191
本文讨论了HS驱动在Windows 8 x64环境下的特殊行为，包括NT/ZWOPENPROCESS、EndTask的R3HOOKXT恢复及OBJHOOK再恢复现象。作者对于HS驱动能够执行此类操作表示好奇，并询问是否有人能通过OD等工具观察到进程状态。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

今天尝试调戏了一下HS ，发现在W8x64环境下，有NT/ZWOPENPROCESS和EndTask的R3HOOK XT恢复之，之后又发现他竟然有令人发指的OBJ HOOK 再恢复，OD之类的可以看到进程吗？不是说PG会阻止OBJ HOOK么，为何HS的驱动可以干这些XXOO的事儿？ 
陈刚12
关注
x64 antidebug 不触发PG 补充代码
落笔飞花笑百生的博客
08-05 3265
因为搬家了  还有 板砖很忙 没办法 工头都懂得的~~~~ 先说antiantidebug 都知道 32位的驱动保护  不用VT说白了就是 HOOK过来 HOOK过去  比的是谁的 钩子深  谁的 钩子更多~~~~ 然而 64位呢 很多保护 例如TP/HP/HS 基本就是驱动几个callbacks 应用层 几个钩子 反调试  模拟一场等等    我的 PASS方法呢 例如TP钩子 KIuse
谈谈NP和HS的通用unhook
05-08 1471
先简单说以下，NP和HS都hook了以下一些SSDT什么是SSDT？我不想说那些复杂的理论，希望以简单的事实帮助介绍先向大S道歉，下文如有冒犯，还请大S原谅怎么说呢，SSDT本身就是一个地址表，我们当他是个地址簿，也就是写了每个人的地址的记录表今天，偶想给大S送新年礼物，怎么送到大S家里呢？就得查看地址簿了上面是这样写的  大S： 游戏达人，外挂高人，破解牛人，脱壳圣人；分身有如月，堀北真希，花泽
objectHook简单介绍
o330820350的专栏
09-12 1161
标 题: 【原创】objectHook简单介绍 作 者: ggdd 时 间: 2011-01-15,13:13:20 链 接: http://bbs.pediy.com/showthread.php?t=128161 其实这东西很多大牛多玩腻了的东西，看下论坛上比较少这类的，就来献献丑，科普一下 大牛们直接 可以飘过，这东西主要是自我复习一下OBJECT的一些知识，技术这东西久了不弄
勘误 win7x64下对OpenProcedure的ObjectHook
zhuhuibeishadiao
06-10 2838
那个时候刚接触ObjectHook 我对进程对象下的OpenProcedure进行HOOK 保护程序typedef LONG32 (NEAR CDECL FUNCT_005B_0FC1_OpenProcedure) (enum _OB_OPEN_REASON, CHAR, UINT64 /*struct _EPROCESS**/, UINT64 /*VOID**/, UINT64 /*ULONG
x64内核hook
liuhaidon1992的博客
01-07 1681
x64中系统提供了api帮助我们进行hook，主要是如下三个函数 PsSetCreateProcessNotifyRoutineEx，这个函数的作用就是当进程创建的时候会通知你.， PsSetCreateThreadNotifyRoutine，这个函数的作用是 当线程创建的时候会通知你。 PsSetLoadImageNotifyRoutine，这个函数的作用是 当模块加载的时候会通知你。 ...
女孩网站全站程序
08-30
女孩网站全站程序
x64内核HOOK技术之拦截进程.拦截线程.拦截模块
weixin_30399155的博客
02-01 800
　　　　　　　　　　　　x64内核HOOK技术之拦截进程.拦截线程.拦截模块 一丶为什么讲解HOOK技术. 在32系统下,例如我们要HOOK SSDT表,那么直接讲CR0的内存保护属性去掉.直接讲表的地址修改即可. 但是在64位系统下,不可以这样操作了. 第一是因为 SSDT表加密了. 第二是 SSDT表你就算解密了.那么你的API的地址也会很远. SSDT表放不下4G以...
某招聘网站搜索结果接口之acw_sc__v2逆向
最新发布
非专业程序员小田
05-03 1713
JS逆向，JS逆向学习，JS生成cookie，加密分析
od结构体大小_[原创]OD插件之重载内核(高清有码)
weixin_39653761的博客
12-21 624
写这个插件其实主要是因为现在32位下各种内核钩子，用一些调试工具畏首畏尾的，一会挂钩这里，一会挂钩那里，遂干脆一了百了，直接写个内核重载插件，虽说是OD插件，也可以支持其他软件。此插件名字就叫ReloadKernel V1.0吧，贴切一点:(支持2003，XP,WIN7)请避免和360，QQ管家，百度杀毒等一同使用，对于没有DebugPort清零的保护应该是可以秒的，比如HS(亲测)，当然你要处理...
VB速查大全(数据库、表格及报表编程) ★ VB错误处理，ado常见错误，VB数据类型等，网上有很多教程是错的，强烈建议看此文
ecz00的专栏
05-19 8739
VB异常处理 (很重要) ado常见错误 ado游标及锁定介绍 免费报表控件 免费表格控件 vb数据类型(很多程序出问题出在这个，一定要看，VB msdn说的不太对) VB可用的AES加密sqlite_odbc 及 cairo_sqlite (VBRichClient自带的非odbc连接) 有vbRichClient代替winsock、实现vb多线程及远程调用activeX等
一个简单的Object Hook的例子（win7 32bit）
08-29 241
Object Hook简单的来说就是Hook对象，这里拿看雪上的一个例子，因为是在win7 32位上的，有些地方做了些修改。 _OBJECT_HEADER： kd> dt _OBJECT_HEADERnt!_OBJECT_HEADER +0×000 PointerCount : Int4B +0×004 HandleCount : Int4B ...
EndTask
Matrix_Designer的专栏
10-04 1546
<br />前些日子，写了个软件自保护的Demo，通过Hook OpenProcess，将试图获取PROCESS_TERMINATE标志的进程句柄过滤掉，这样可以达到间接拒绝TerminateProcess的效果。当然，代码和思路都是别人的，我只是整理了下，呵呵。这种方法只能对付进程管理器的结束进程，却无法解决结束任务。昨晚经好友指点，才知道原来结束任务是通过EndTask这个API调用实现的，小试牛刀，Hook掉这个API，成功解决！很是迷惑，这个微软既然有TerminateProcess了，为什么还
linux下imwbr1进程,Linux-kernel mailing list archive 2002-15,: Re: 2.5.8-dj1 with IDE TCQ doesn't surviv...
热门推荐
weixin_31782201的博客
05-12 2万+
--Jens Axboe--aVD9QWMuhilNxW9fContent-Type: application/x-bunzip2Content-Disposition: attachment; filename="ata-tcq-258-all-1.bz2"Content-Transfer-Encoding: base64QlpoOTFBWSZTWb9utasAo+H/gH9yvwJ//////...
结束任务函数 Endtask function
Inside Windows
10-19 3099
;结束任务函数BOOL STDCALL  EndTask (HWND hWnd, BOOL fShutDown, BOOL fForce) BOOL WINAPI EndTask(    HWND hwnd,    BOOL fShutdown,    BOOL fForce){参数Hwnd为要关闭的窗口 若是单线程窗口则线程被结束 进程随之结束参数fShutdown 暂不明确定义 估计可能是是否
hook方式进程创建监控，进程保护
kernweak的博客
05-30 3249
关于进程创建， xp系统:CreatProcessW->CreateProcessInternalW->NtCreateProcessEx->NtCreatSection Vista以上：CCreatProcessW->CreateProcessInternalW->NtCreateUserProcess->NtCreateSection 所以我们要Hoo...
object hook实现禁止创建文件
小驹的专栏
11-05 5159
内核 object hook 文件
win8 object_header信息
生活的乐趣在于折腾
09-19 706
原始链接：http://www.itnests.com/win8-64bit-_kthread-_ethread.html dt _KTHREAD +0x000 Header           : _DISPATCHER_HEADER +0x018 SListFaultAddress : Ptr64 Void +0x020 QuantumTarget    : Uint8B
液晶显示技术H128X64,HS162-4,T6963使用与应用指南
HS162-4也是一种液晶显示模块，虽然文件中没有提供具体的参数和描述，但可以推断它同样支持图形点阵显示，并可能在分辨率、显示区域等方面与H128X64有所区别。使用时需要查阅其相应的技术文档，了解其特点和指令集。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值