Tesla.Angela 发表于 2014-7-31 16:40:22

[测试]WIN64全平台支持的内核层EAT/IAT/OBJECT/IRP/IDT HOOK

如果需要购买这个PoC的源码，请查看这里。注意：部分PoC使用了知名的泄露证书（比如：“HT SRL”等）进行签名，微软在最新的系统上已经将这些证书拉黑。如果您发现驱动无法加载，请使用没有被微软拉黑的证书给驱动重新进行签名，或使用signtool工具移除驱动的签名后再关闭DSE进行测试。32位版本：http://www.m5home.com/bbs/thread-8128-1-1.html
网上各种(S)SSDT和INLINE HOOK的代码已经非常齐全了，但是EAT/IAT/OBJECT/IRP/IDT HOOK的代码却比较少。这个DEMO理论上支持所有NT5和NT6系统，但测试平台是XP和WIN7。XT可以看到效果。在代码方面，只在IDT HOOK里用了1处外嵌汇编，其它地方都没用。在实际应用这个代码之前，需要解决PatchGuard捣乱的问题。



techminister 发表于 2014-7-31 16:48:06

给力给力，不错 bin文件就是不特给力

网游天下 发表于 2014-8-1 23:28:41

有源码吗？

upring 发表于 2015-6-6 13:05:26

支持原创 谢谢分享

Liycchd 发表于 2015-8-5 14:03:39

不错，不过更想看一下DEMO

745452@qq.com 发表于 2019-4-30 21:43:55

谢谢谢谢

sijin 发表于 2019-8-1 19:58:40

给力呀，终于找到全的代码了

lsgzs 发表于 2022-7-5 21:29:11

看看啊，谢谢。
页: [1]
查看完整版本: [测试]WIN64全平台支持的内核层EAT/IAT/OBJECT/IRP/IDT HOOK