瑞客论坛

 找回密码
 立即注册
查看: 137|回复: 2

利用回调完成内核返回应用层异常派遣的提前处理

[复制链接]

金币6  第19470名

1

主题

11

回帖

25

积分

新手上路

Rank: 1

威望
13
贡献
6
热心值
0
金币
6
注册时间
2024-11-18
发表于 2024-11-19 10:33 | 显示全部楼层 |阅读模式
实现原理:
那段时间在网上看到一个非常有意思的尾部挂钩方法: InstrumentationCallback
在KPROCESS结构的偏移地址0x2c8处,包含一个名为InstrumentationCallback的域,Windows系统Vista以及之后的版本中,可以使用InstrumentationCallback域来指定回调函数的地址,每次函数从内核态返回用户态之后系统都会调用指定的回调函数。
至于原理大致就是以上阐述的,那么了解Windows的异常派遣机制后可以知道每次系统产生异常时会从内核返回到用户层,既然这样那么我们是不是可以通过回调在回用户层的时候先拦截派遣,调用我们的异常处理函数后再放过它回去执行原来的派遣呢?
实践出真理,那就行用来验证想法是否正确吧。
...
此处省略...
源码见下面...
...
效果图:
游客,本付费内容需要支付 10金币 才能浏览, 赞助VIP全站免费下载支付




效果图.png
回复

使用道具 举报

金币181  第5995名

2

主题

5560

回帖

1万

积分

论坛元老

Rank: 8Rank: 8

威望
9331
贡献
6205
热心值
0
金币
181
注册时间
2019-12-31
发表于 2024-11-20 00:25 | 显示全部楼层
利用回调完成内核返回应用层异常派遣的提前处理
回复

使用道具 举报

金币2543  第704名

0

主题

3270

回帖

1万

积分

论坛元老

Rank: 8Rank: 8

威望
6069
贡献
3883
热心值
0
金币
2543
注册时间
2021-11-20
发表于 2024-11-20 08:09 | 显示全部楼层
强烈支持楼主ing……
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|手机版|小黑屋|瑞客论坛 |网站地图

GMT+8, 2025-2-6 01:07

Powered by Discuz! X3.4

© 2001-2023 Discuz! Team.

快速回复 返回顶部 返回列表