[原创]对付一切RING3 INLINE HOOK的绝招（非RELOAD DLL）

Tesla.Angela

很多年前我在《黑客防线》上发过一篇文章，叫做“WIN64上实现RING3级别的HIPS”，其实HIPS不可能存在RING3级别的，因为RING3的INLINE HOOK是毫无用处的。

先请大家先看看NTDLL32对NATIVE API的实现（NTDLL64类似）：

1. WIN2003X64
   
2. ==========
   
3. ntdll32!ZwOpenProcess:
   
4. 00000000`7d61cb43 b823000000      mov     eax,23h
   
5. 00000000`7d61cb48 33c9            xor     ecx,ecx
   
6. 00000000`7d61cb4a 8d542404        lea     edx,[rsp+4]
   
7. 00000000`7d61cb4e 64ff15c0000000  call    qword ptr fs:[ntdll32!NtReadFileScatter+0x12 (00000000`7d61cc15)]
   
8. 00000000`7d61cb55 c21000          ret     10h
   
9. 00000000`7d61cb58 8d4900          lea     ecx,[rcx]
   
10. ntdll32!NtSetInformationFile:
    
11. 00000000`7d61cb5b b824000000      mov     eax,24h
    
12. 00000000`7d61cb60 33c9            xor     ecx,ecx
    
13. 00000000`7d61cb62 8d542404        lea     edx,[rsp+4]
    
14. 00000000`7d61cb66 64ff15c0000000  call    qword ptr fs:[ntdll32!ZwOpenThreadTokenEx+0x12 (00000000`7d61cc2d)]
    
15. 00000000`7d61cb6d c21400          ret     14h
    
16. 00000000`7d61cb70 8d4900          lea     ecx,[rcx]
    
17. 
    
18. WIN7X64
    
19. =======
    
20. ntdll32!ZwOpenProcess:
    
21. 00000000`7765fc10 b823000000      mov     eax,23h
    
22. 00000000`7765fc15 33c9            xor     ecx,ecx
    
23. 00000000`7765fc17 8d542404        lea     edx,[rsp+4]
    
24. 00000000`7765fc1b 64ff15c0000000  call    qword ptr fs:[ntdll32!NtReadFileScatter+0xe (00000000`7765fce2)]
    
25. 00000000`7765fc22 83c404          add     esp,4
    
26. 00000000`7765fc25 c21000          ret     10h
    
27. ntdll32!ZwSetInformationFile:
    
28. 00000000`7765fc28 b824000000      mov     eax,24h
    
29. 00000000`7765fc2d 33c9            xor     ecx,ecx
    
30. 00000000`7765fc2f 8d542404        lea     edx,[rsp+4]
    
31. 00000000`7765fc33 64ff15c0000000  call    qword ptr fs:[ntdll32!ZwOpenThreadTokenEx+0xa (00000000`7765fcfa)]
    
32. 00000000`7765fc3a 83c404          add     esp,4
    
33. 00000000`7765fc3d c21400          ret     14h
    
34. 
    
35. WIN8X64
    
36. =======
    
37. ntdll!NtOpenProcess:
    
38. 77aa0fbc b824000000      mov     eax,24h
    
39. 77aa0fc1 64ff15c0000000  call    dword ptr fs:[0C0h]
    
40. 77aa0fc8 c21000          ret     10h
    
41. 77aa0fcb 90              nop
    
42. ntdll!ZwSetInformationFile:
    
43. 77aa0fcc b825000000      mov     eax,25h
    
44. 77aa0fd1 64ff15c0000000  call    dword ptr fs:[0C0h]
    
45. 77aa0fd8 c21400          ret     14h
    
46. 77aa0fdb 90              nop
    
47. 
    
48. WIN8.1X64
    
49. =========
    
50. ntdll!ZwOpenProcess:
    
51. 7710b850 b825000000      mov     eax,25h
    
52. 7710b855 64ff15c0000000  call    dword ptr fs:[0C0h]
    
53. 7710b85c c21000          ret     10h
    
54. 7710b85f 90              nop
    
55. ntdll!NtSetInformationFile:
    
56. 7710b860 b826000000      mov     eax,26h
    
57. 7710b865 64ff15c0000000  call    dword ptr fs:[0C0h]
    
58. 7710b86c c21400          ret     14h
    
59. 7710b86f 90              nop

复制代码

下面说说怎么对付RING3的INLINE HOOK：

游客，如果您要查看本帖隐藏内容请回复

rice19

围观学习:)

网游天下

必须学习

dumingqiao

学习了 哈哈

sxniao

看一下这个

sanyoo

回复一个学习学习

cychk

看看

想太多

看起来貌似有用的东西啊

想太多

看起来貌似有用的东西啊