Question

我使用最新版本的EasyHook来挂钩一些内核功能。我确实在基于Windows 8.1 64位的虚拟机上成功设置了调试，我测试了用户模式下的NtQuerydirectoryFile和NtQuerySystemInformation以及内核模式下的NtQuerySystemInformation，没有任何问题。

我当前的问题是使用我用于用户模式挂钩的相同代码挂钩NtQuerydirectoryFile，但是当我调用原始函数给我一个访问冲突错误时它失败了。我使用以下代码进行内核模式挂钩：

NTSTATUS NtQueryDirectoryFile_Hook(
    __in HANDLE FileHandle,
    __in_opt HANDLE Event,
    __in_opt PIO_APC_ROUTINE ApcRoutine,
    __in_opt PVOID ApcContext,
    __out PIO_STATUS_BLOCK IoStatusBlock,
    __out_bcount(Length) PVOID FileInformation,
    __in ULONG Length,
    __in FILE_INFORMATION_CLASS FileInformationClass,
    __in BOOLEAN ReturnSingleEntry,
    __in PUNICODE_STRING FileName OPTIONAL,
    __in BOOLEAN RestartScan
    )
{
    NTSTATUS status;
    status = NtQueryDirectoryFile(FileHandle, Event, ApcRoutine, ApcContext, IoStatusBlock, FileInformation, Length, FileInformationClass, ReturnSingleEntry, FileName, RestartScan);
    return status;
}

Answer 1

正如我之前提到的，原始的蹦床跳转修改了RAX寄存器，所以我用另一个蹦床取而代之：

50                             push   rax
48 b8 00 00 00 00 00 00 00 00  mov rax, 0x0
48 87 04 24                    xchg   QWORD PTR [rsp],rax
c3                             ret

除了修复依赖于蹦床跳转代码的硬编码大小的功能，因为新版本更大。现在它没有任何问题。

从内核挂钩调用NtQuerydirectoryFile会崩溃内核

1 个答案: