inline hook和IDT hook结合 收藏
来源:互联网 发布:美国大数据公司排名 编辑:程序博客网 时间:2024/05/29 06:46
inline hook就是修改一个函数里面的几个字节为一条跳转指令,jmp到自己的函数中执行......
IDT HOOK就是修改IDT表中正常的异常处理例程的入口函数,为自己的函数地址
把这俩种思想结合起来就是""""一个字节钩子""""
请看
nt!NtOpenFile:
80579fd0 8bff mov edi,edi
80579fd2 55 push ebp
80579fd3 8bec mov ebp,esp
对这个函数进行inline hook没什么问题.....但是我们这里只修改一个字节....所以不是inline hook
mov edi,edi的机器码是8bff...........我们就把8b这个字节改下,就改成0xCD吧.....然后执行
nt!NtOpenFile时候.....意味着执行了0xCD 0xFF 这个机器码表示的是INT 0XFF...呵呵.....然后就发生了异常......转到处理INT 0XFF的异常处理程序............我们可以IDT HOOK INT 0XFF.........所以就执行我们自己的函数了
总结:::这种方法可以绕过现在很过工具的inline hook检测...因为我们只修改函数开头的一个字节...本质上说不是inline hook,没有jmp嘛.....
但是修改了IDT.....随便DUMP一下IDT就知道是否异常拉..........所以检测IDT 还是很重要的...因为这张表对病毒来说还是可以利用的....除了这个""""一个字节钩子"""""还有键盘记录...禁止调试等..........
接着你们就可以试下了...inline hook和IDT hook的代码看雪就有
PS::我对HOOK基本是没什么兴趣....检测HOOK倒是有兴趣........所以在检测一个函数是否干净..看来还是要来个对0xCD的判断啊
- inline hook和IDT hook结合 收藏
- inline hook和IDT hook结合
- IDT Hook
- hook idt
- IDT HOOK
- IAT HOOK、EAT HOOK和Inline Hook
- 通用Inline Hook代码收藏
- SSDT-hook,IDT-hook原理
- 反idt hook 隐藏hook idt
- inline hook和SDDT hook的区别
- idt hook 3
- x86 IDT HOOK
- X64 HOOK IDT
- idt hook 原版
- win32 IDT HOOK
- Centos5.5 IDT HOOK
- Inline Hook
- Inline Hook
- 特许经营若干法律问题解答
- 非多态情况
- 帖一个根据服务器时间作为起始,显示时钟的小程序
- cab安装时如何更新安装新版本控件
- jquery operate table
- inline hook和IDT hook结合 收藏
- C++ using namespace std 详解
- 很色,非常色,十分色,格外色,异常色,特别色,相当色,太色了!
- IDT Hook
- Java中printwriter类的用法
- Icesword的进程检测分析收藏
- FTP命令行使用精粹
- Icesword 驱动部分分析
- SVN 导致 Eclipse 失败退出,并且不能再启动的问题