内核驱动实现InlineHook扫描与摘除功能.pdf

内核驱动实现InlineHook扫描与摘除功能.pdf

在笔者上一篇文章《驱动开发:内核层InlineHook挂钩函数》中介绍了通过替换函数头部代码的方式实现

Hook挂钩,对于ARK工具来说,实现扫描与摘除InlineHook钩子也是最基本的功能。此类功能的实现

一般可在应用层进行,而驱动层只需要保留一个读写字节的函数即可,将复杂的流程放在应用层实现是一

个非常明智的选择,与《驱动开发:内核实现进程反汇编》中所使用的读写驱动基本一致。本篇文章中的驱动

只保留两个功能:控制信号IOCTL_GET_CUR_CODE用于函数的前16个字节的内存,信号

IOCTL_SET_ORI_CODE则用于设置前

文档评论(0)

1亿VIP精品文档

相关文档