|
实现原理： 那段时间在网上看到一个非常有意思的尾部挂钩方法： InstrumentationCallback
在KPROCESS结构的偏移地址0x2c8处，包含一个名为InstrumentationCallback的域，Windows系统Vista以及之后的版本中，可以使用InstrumentationCallback域来指定回调函数的地址，每次函数从内核态返回用户态之后系统都会调用指定的回调函数。
至于原理大致就是以上阐述的，那么了解Windows的异常派遣机制后可以知道每次系统产生异常时会从内核返回到用户层，既然这样那么我们是不是可以通过回调在回用户层的时候先拦截派遣，调用我们的异常处理函数后再放过它回去执行原来的派遣呢？
实践出真理，那就行用来验证想法是否正确吧。 ... 此处省略... 源码见下面... ... 效果图：
| 
发表于 2024-11-19 10:33
