本文中，我想介绍一种非常有趣的尾部挂钩方法，该方法在2015年的REcon会议上由Alex提出。

        尾部绕过技术允许后处理，这对于在原始流程执行完毕之后对输出参数进行过滤十分有用。

        这并不是一种新的技术，但我认为，这种技术及其我试验过的所有会引发崩溃的POC代码都十分有趣。

        我尝试构建不会引发崩溃（至少对我而言）并且能够正常结束的POC（顺便提一句，它生成一个EXE文件，而不是DLL）。

        在KPROCESS结构的偏移地址0x2c8处，包含一个名为InstrumentationCallback的域（在Windbg调试器中利用相应的命令能够看到该域，具体如下所示）：

        一种指定回调函数的方法是使用驱动实现，但实践证明还有一种更简单的方式，即使用无需任何特殊权限的用户态API函数NtSetInformationProcess，我们只需要配置正确的结构体就够了。具体代码如下所示：

        以上:)  代码成功运行于Windows 10 v1709 x64系统

        你可以从如下网址获取POC代码：

        e1fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6K6k6h3y4J5j5i4u0&6i4K6u0r3d9r3!0G2K9$3W2F1k6#2)9J5k6s2k6A6j5g2)9J5k6p5W2F1M7%4c8J5N6h3#2W2L8Y4c8S2N6r3W2G2L8V1y4S2L8r3I4T1j5h3y4C8

        资源：

        ·对Nirvana进行挂钩（464K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2&6L8%4g2@1N6h3u0W2i4K6u0W2j5$3!0E0i4K6u0r3N6$3q4@1j5$3S2Q4x3@1k6$3i4K6y4p5j5Y4q4g2x3s2V1@1c8Y4A6$3g2o6m8Q4c8f1k6Q4b7V1y4Q4z5o6V1`.

        ·Windows x64系统的系统服务挂钩技术和高级调试（c9cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2U0L8$3c8W2M7s2u0G2K9X3g2U0N6q4)9J5k6h3y4G2L8g2)9J5c8V1q4J5N6r3W2U0L8r3g2K6i4K6u0r3y4e0b7K6y4e0b7J5i4K6u0r3g2$3W2F1k6r3!0%4M7#2)9J5k6s2S2Q4x3X3c8K6P5i4y4@1k6h3#2Q4x3X3c8K6k6i4u0$3K9h3y4W2i4K6u0V1K9r3!0G2K9%4y4Q4x3X3c8S2L8X3c8Q4x3X3c8S2k6s2k6S2L8X3y4W2k6q4)9J5k6r3c8W2j5Y4g2Y4i4@1g2r3i4@1u0o6i4K6R3&6

        ·反调试技巧（238K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6H3j5i4y4@1k6h3u0A6L8W2)9J5k6h3y4G2L8g2)9J5c8U0W2f1M7g2u0s2M7@1@1#2i4@1g2r3i4@1u0o6i4K6R3&6

        ·Windows 10系统对Nirvana进行挂钩操作简介（512K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6K6N6%4N6Q4x3X3c8A6N6q4)9J5k6i4u0#2i4K6u0r3x3U0l9I4y4W2)9J5k6o6l9@1i4K6u0V1x3e0q4Q4x3V1j5I4x3K6x3J5i4@1g2r3i4@1u0o6i4K6R3&6

[培训]科锐逆向工程师培训第53期2025年7月8日开班！