PsSetCreateThreadNotify回调PsLookupThreadByThreadId失败

最新推荐文章于 2024-06-21 18:43:30 发布

原创最新推荐文章于 2024-06-21 18:43:30 发布 · 1.6k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#hook #微软

本文探讨了在PsSetCreateThreadNotify回调中调用PsLookupThreadByThreadId失败的问题，并提供了一种通过二次hook解决该问题的方法，同时提到了另一种基于特征码的解决方案。

PsSetCreateThreadNotify设置的回调函数中调用PsLookupThreadByThreadId失败。原因在此。

在这个回调中因微软的疏忽，VISTA之前的系统调用PsLookupThreadByThreadId查找ThreadId对应的ETHREAD一定会失败。
因此应采用二次hook：
1.首先保存此处的三个参数，然后找到调用ThreadNotifyRoutine的函数的返回地址，替换为hook函数的地址
2.在hook函数中进行所需的操作，之后返回原来的返回地址。

目前这只是个思路，还未实现。（参见《返回地址HOOK》。注：已稳定实现。）

有人提供了另一个解决的方法，感觉涉及到特征码，通用性不够好，但至少解决了问题。
方法在此。