Tesla.Angela 发表于 2014-8-25 20:00:08

《WIN64驱动教程》补充[17]：内核EAT HOOK的实现

作者：Tesla.Angela

内核EAT HOOK本质上跟RING3的EAT HOOK差不多，都是找到导出表记录『偏移地址』的位置，然后修改数值，使调用导出表函数时直接跳到代理函数地址。偏移地址=代理函数地址-函数所属模块基址。在WIN32系统上，有一些HIPS就用EAT HOOK来替代INLINE HOOK实现自我保护，比如微点。不过在WIN64系统上，内核EAT HOOK的实用性几乎为0，一来是PatchGuard作怪，二来是PE32和PE32+在导入表的结构上都是一样的，偏移地址只有4个字节。这就导致WIN64系统进行EAT HOOK时，必须采用二段跳，结合CODE PATCH才能使用（方法类似于教程里的WIN64 SSDT/SSSDT HOOK）。
**** Hidden Message *****

5ak 发表于 2024-1-2 16:54:46

学习了

xtfpg 发表于 2024-1-9 15:53:00

抄一抄

baggiowangyu 发表于 2024-1-26 17:54:38

2024补充学习

ruin1990 发表于 2024-2-6 16:28:55

感谢分享，最近在看这几种hook

nj001 发表于 2024-3-19 08:31:22

学习一下

yimingqpa 发表于 2024-3-29 10:16:26

主要想看看隐藏内容是啥。

wst5898 发表于 2025-1-25 22:47:28

好好学习一下
页: [1]
查看完整版本: 《WIN64驱动教程》补充[17]：内核EAT HOOK的实现