[疑惑]X64 hook NtOpenProcess

wenh7788

首先感谢TA大大公开源码～
下面是我代码

1. 
   
2. 
   
3. ULONG64   ullSSDTBaseAddress;
   
4. ULONG64   ullSSDTNtOpAddress;
   
5. ULONG64          RealSSDTNtOpAddress;
   
6. 
   
7. typedef NTSTATUS (__stdcall *NTOPENPROCESS)(
   
8.         __out PHANDLE  ProcessHandle,
   
9.         __in ACCESS_MASK  DesiredAccess,
   
10.         __in POBJECT_ATTRIBUTES  ObjectAttributes,
    
11.         __in_opt PCLIENT_ID  ClientId
    
12.         );
    
13. 
    
14. NTOPENPROCESS  RealNtOpenProcess;
    
15. 
    
16. NTSTATUS __stdcall MyNtOpenProcess(
    
17.                                                                    PHANDLE  ProcessHandle,
    
18.                                                                    ACCESS_MASK  DesiredAccess,
    
19.                                                                    POBJECT_ATTRIBUTES  ObjectAttributes,
    
20.                                                                    PCLIENT_ID  ClientId
    
21.                                                                    )
    
22. {
    
23.         NTSTATUS rc;
    
24.         //ULONG PID;
    
25.         DbgPrint( "NtOpenProcess() called.\n" );
    
26.         KdPrint(( "NtOpenProcess() called.\n" ));
    
27.         rc = (NTSTATUS)(NTOPENPROCESS)RealNtOpenProcess(
    
28.                         ProcessHandle,
    
29.                         DesiredAccess,
    
30.                         ObjectAttributes,
    
31.                         ClientId
    
32.                         );
    
33.         return rc;
    
34. }
    
35. 
    
36. KIRQL WPOFFx64()
    
37. {
    
38.         KIRQL irql=KeRaiseIrqlToDpcLevel();
    
39.         ULONG64 Cr0=0;
    
40.         Cr0=__readcr0();
    
41.         Cr0 &=0xFFFFFFFFFFFEFFFF;
    
42.         __writecr0(Cr0);
    
43.         _disable();
    
44.         return irql;
    
45. }
    
46. 
    
47. VOID WPONx64(KIRQL irql)
    
48. {
    
49.         ULONG64 Cr0=0;
    
50.         Cr0=__readcr0();
    
51.         Cr0 |=0x10000;
    
52.         _enable();
    
53.         __writecr0(Cr0);
    
54.         KeLowerIrql(irql);
    
55. }
    
56. 
    
57. VOID HookNtOpenProcess()
    
58. {
    
59.         KIRQL irql;
    
60.         ULONG64 Address;
    
61.         ULONG64 ulSSDTValue;
    
62.         ulSSDTValue=*(ULONG64*)ullSSDTBaseAddress;  //0xfffff800`03c7fb00  
    
63.         Address=(ULONG64)(ulSSDTValue + 0x23*4);    //0xfffff800`03c7fb8c
    
64.         RealSSDTNtOpAddress=ulSSDTValue+(((DWORD)(*(ULONG64*)Address))>> 4); //
    
65.         RealNtOpenProcess=(NTOPENPROCESS)RealSSDTNtOpAddress;
    
66.         irql=WPOFFx64();
    
67. 
    
68.         *(ULONG64*)Address= (ULONG64)MyNtOpenProcess;    ×××××××这句代码怎么写？
    
69. 
    
70.         WPONx64(irql);
    
71. }
    
72. 
    

复制代码

因为计算的方法变化了，我反而不会写了。经过蓝屏多次查看之后无果，只好出来献丑了。请大侠们指点，谢谢！

说白了hook 地方的代码应该怎么写？

Tesla.Angela

呵呵，这个就不解释了。。。你自己慢慢研究吧，研究通了发代码我给你加精华。。。

wenh7788

老大真心的没有搞懂，给点提示好吗？
按照道理说没有错啊。可是总是蓝屏的

iloveqqp

給力阿～{:soso_e116:}

kk1025

Tesla.Angela 发表于 2012-3-1 15:45
呵呵，这个就不解释了。。。你自己慢慢研究吧，研究通了发代码我给你加精华。。。 ...

努力學習中