编程实现Ring0下恢复所有模块导出函数的inline hook驱动

• 作者: pixiebox
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 导出函数 模块函数 hook 驱动 ANTIVIRUS ROOTKIT 编程 CODE
• 年，卷（期）: 2008,（10）
• 页码范围: 70-73
• 页数: 4页
• 分类号: TP31

摘要

在驱动中，inline hook核心模块函数的执行代码是Rootkit、AntiRootkit和Antivirus等软件的惯用方法。在模块代码中加入JMP CODE，使函数能够在执行前或执行后跳转到它们的处理代码中．达到所期望的目的。如果我们将这些inlinehook代码恢复．它们的功能就会全部失效，而本文的目的就是让所有模块的导出函数（EAT中的函数）恢复成原来的样子，只要能够获取到未导出函数的地址（比如我们可以从KiSerViCeTabIe中获取未导出的sSDT函数地址），就可以将这个函数恢复到原来的代码。