-
-
[转帖]在WIN10 19041下继续欢快的infinityhook
-
发表于: 2020-5-26 17:46
-
ef3K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2S2L8Y4q4#2j5h3&6C8k6g2)9J5k6h3y4G2L8g2)9J5c8Y4m8G2M7%4c8Q4x3V1k6A6k6q4)9J5c8U0t1H3y4U0t1^5z5q4!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4W2!0n7y4g2)9^5b7W2!0q4y4q4!0n7b7g2)9^5y4W2!0q4y4q4!0n7z5q4)9^5b7W2!0q4y4#2)9&6b7g2)9^5y4q4!0q4y4#2!0m8x3g2!0m8c8g2!0q4y4g2)9^5c8W2!0m8c8W2!0q4y4q4!0n7b7W2!0m8y4g2!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4g2!0m8y4q4!0m8y4#2!0q4y4g2!0m8c8g2!0n7y4W2!0q4y4g2)9^5c8W2)9^5z5q4!0q4y4g2)9^5c8W2!0m8c8W2!0q4y4q4!0n7b7W2!0m8y4g2!0q4y4W2!0m8b7#2!0m8x3W2!0q4y4g2!0n7c8W2!0m8b7W2!0q4y4#2)9&6b7g2)9^5y4q4!0q4y4W2)9^5b7g2)9^5y4q4!0q4z5q4!0m8x3W2!0m8c8q4!0q4y4q4!0n7b7g2)9^5y4W2!0q4c8W2!0n7b7#2)9^5b7#2!0q4z5g2)9&6c8q4)9&6z5g2!0q4y4#2!0m8c8q4)9^5z5g2!0q4y4g2!0n7c8g2!0m8c8g2!0q4z5q4!0n7c8q4!0m8c8W2!0q4y4#2!0n7b7W2!0m8y4#2!0q4y4#2!0n7b7W2!0m8c8q4!0q4y4g2)9&6x3W2)9^5b7#2!0q4z5q4!0n7x3q4)9&6x3q4!0q4y4g2)9&6x3q4!0m8y4#2!0q4x3#2)9^5x3q4)9^5x3R3`.`.
|
|
|---|---|
|
|
|
|
|
2004就是19041.... System Thread Exception 是自己的问题... |
|
|
查SSDT Shadow表的操作,调用KeAttachProcess马上就System Thread Exception了. 在2004之前的所有版本都没有这个限制的. 无论是进程附加还是栈内存附加,一律给你System Thread Exception. |
|
|
还是自己问题  可以放DUMP上来
|
|
|
|
|
|
|
|
|
自己的问题，实测19587无任何问题，比19041还高
最后于 2020-5-26 21:19
被hzqst编辑
，原因：
|
|
|
巨硬都被你们气炸了
|
|
|
|
|
|
那个老外的有问题，有人给他改了一下，fin |
|
|
#include <ntifs.h>
typedef struct _KPROCESS
{
CHAR _pad0[0x2e8];
ULONG UniqueProcessId;
LIST_ENTRY ActiveProcessLinks;
CHAR _pad1[0x150];
CHAR ImageFileName[15];
CHAR _pad2[0x39];
UINT32 ActiveThreads;
} EPROCESS;
LONG GetProcessIdByName(const char* processName)
{
auto* const startProcess = PsGetCurrentProcess();
auto* currentProcess = startProcess;
do
{
if (!currentProcess->ActiveThreads)
continue;
STRING currentName;
RtlInitString(¤tName, (PCSZ)currentProcess->ImageFileName);
if (_stricmp(processName, currentProcess->ImageFileName) == 0)
return currentProcess->UniqueProcessId;
}
while ((currentProcess = CONTAINING_RECORD(currentProcess->ActiveProcessLinks.Flink, EPROCESS, ActiveProcessLinks)) != startProcess);
return 0;
}
extern "C" NTSTATUS DriverEntry(IN PDRIVER_OBJECT , IN PUNICODE_STRING )
{
const auto explorerPid = GetProcessIdByName("winlogon.exe");
if (explorerPid != 0)
{
PEPROCESS EProcess = nullptr;
if (NT_SUCCESS(PsLookupProcessByProcessId((HANDLE)explorerPid, &EProcess)))
{
//win10 2004 (19041+)必定蓝屏:System Thread Exception Not Handle,19041之前的系统可以正常
KeAttachProcess(EProcess);
KeDetachProcess();
}
}
return STATUS_SUCCESS;
} |
|
|
膜拜大肉基。
|
|
|
|
|
|
本地测了下 ，没问题。 |
|
|
微软都不让用这个api了 |
|
|
那么邪门?肯定是有什么细节不一样. 你应该不是在DriverEntry里面调用的,你应该是被RING3的程序间接调用(HOOK),或者是基于驱动IO调用的. 如果是这样调用的话,根本无需AttachProcess了,你本身已经是附加到进程去的了. |
|
|
正解,新版的WIN10,加入了更多的限制. |
|
|
就是DRIVERENTRY里直接写个函数调用的。建议你用个干净的系统测试。 |
|
|
绝对干净的,在VM Ware 15.5.2里面跑的,全新安装的,打上所有的系统更新. 你居然没事,让我头大了,到底问题出在哪里? |
|
|
大表哥已经说的很清楚了，微软都不让用KeAttachProcess了，KeStackAttachProcess试 |
|
|
当时发现KeAttachProcess不给使用的时候,马上就测试了KeStackAttachProcess,一样不可以了的. 我知道是微软禁止使用了,但是楼主说测试正常使用,我就懵逼了,我严重怀疑他的2004是之前的那个预览版,但是编译号却是19041, 真的蛋疼 |
|
|
现在要获取SSDSHADOW,可以使用倒推的方式计算出来,在infinityhook里面判断CallNumber,发现大于0x1000的,就是UserCall,根据CallNumber和当前的FunctionAddress倒推可以推到SSDShadow的表头. |
|
|
最后的结果就是进PG或者承认其存在----打不过就加入 |
|
|
|
syser
hzqst
