Object Hook原始地址查找

最新推荐文章于 2024-04-22 00:11:24 发布
最新推荐文章于 2024-04-22 00:11:24 发布
阅读量3k 收藏
点赞数
分类专栏： 知识点 文章标签： object hook null c
探讨了在特定系统环境下，ObjectHook原始地址查找的通用性和实现方式，重点关注了ObjectProcedure的查找过程及其与不同Object类型（如Process、Thread、KeyObject等）之间的交互。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

 
写的Object Hook原始地址查找通用性似乎还可以
2009-02-15 11:46

如题。

有关于SecurityProcedure：

部分ObjectType在创建的时候没有提供SecurityProcedure，所以无法得到，但是ObCreateObjectType发现SecurityProcedure被提供为NULL的时候会自行设置为SeDefaultObjectMethod，这导致了搜索结果为NULL而实际结果不为NULL。

试图加载 ntkrnlpa.exe.
成功加载 ntkrnlpa.exe.
成功创建 Section.
成功映射 Section 于 7FD90000 长度 2150400 , 状态号 1073741827 .
开始查找 Object Procedure.
开始查找 Process.
OpenProcedure: 00000000
CloseProcedure: 00000000
DeleteProcedure: 004FACDC
DumpProcedure: 00000000
OkayToCloseProcedure: 00000000
ParseProcedure: 00000000
QueryNameProcedure: 00000000
SecurityProcedure: 00000000
开始查找 Thread.
OpenProcedure: 00000000
CloseProcedure: 00000000
DeleteProcedure: 004FAE64
DumpProcedure: 00000000
OkayToCloseProcedure: 00000000
ParseProcedure: 00000000
QueryNameProcedure: 00000000
SecurityProcedure: 00000000
开始查找 KeyObject.
OpenProcedure: 00000000
CloseProcedure: 0056006E
DeleteProcedure: 0055FF54
DumpProcedure: 00000000
OkayToCloseProcedure: 00000000
ParseProcedure: 00557F1C
QueryNameProcedure: 0055EDEE
SecurityProcedure: 0055FDB8
开始查找 File.
OpenProcedure: 00000000
CloseProcedure: 004AC6E8
DeleteProcedure: 004AC9C6
DumpProcedure: 00000000
OkayToCloseProcedure: 00000000
ParseProcedure: 004AC5D6
QueryNameProcedure: 004AB680
SecurityProcedure: 004ACD4A
开始查找 Driver.
OpenProcedure: 00000000
CloseProcedure: 00000000
DeleteProcedure: 004AC62E
DumpProcedure: 00000000
OkayToCloseProcedure: 00000000
ParseProcedure: 00000000
QueryNameProcedure: 00000000
SecurityProcedure: 00000000
开始查找 Device.
OpenProcedure: 00000000
CloseProcedure: 00000000
DeleteProcedure: 004AC6A8
DumpProcedure: 00000000
OkayToCloseProcedure: 00000000
ParseProcedure: 004AB7E8
QueryNameProcedure: 00000000
SecurityProcedure: 004ACD4A
查找 Object Procedure 完成.
退出.

lkd> dt _OBJECT_TYPE_INITIALIZER poi(PsProcessType)+0x60
nt!_OBJECT_TYPE_INITIALIZER
   +0x000 Length           : 0x4c
   +0x002 UseDefaultObject : 0 ''
   +0x003 CaseInsensitive : 0 ''
   +0x004 InvalidAttributes : 0xb0
   +0x008 GenericMapping   : _GENERIC_MAPPING
   +0x018 ValidAccessMask : 0x1f0fff
   +0x01c SecurityRequired : 0x1 ''
   +0x01d MaintainHandleCount : 0 ''
   +0x01e MaintainTypeList : 0 ''
   +0x020 PoolType         : 0 ( NonPagedPool )
   +0x024 DefaultPagedPoolCharge : 0x1000
   +0x028 DefaultNonPagedPoolCharge : 0x290
   +0x02c DumpProcedure    : (null)
   +0x030 OpenProcedure    : (null)
   +0x034 CloseProcedure   : (null)
   +0x038 DeleteProcedure : 0x805d2cdc     void nt!PspProcessDelete+0
   +0x03c ParseProcedure   : (null)
   +0x040 SecurityProcedure : 0x805f9150     long nt!SeDefaultObjectMethod+0
   +0x044 QueryNameProcedure : (null)
   +0x048 OkayToCloseProcedure : (null)
lkd> dt _OBJECT_TYPE_INITIALIZER poi(PsThreadType)+0x60
nt!_OBJECT_TYPE_INITIALIZER
   +0x000 Length           : 0x4c
   +0x002 UseDefaultObject : 0 ''
   +0x003 CaseInsensitive : 0 ''
   +0x004 InvalidAttributes : 0xb0
   +0x008 GenericMapping   : _GENERIC_MAPPING
   +0x018 ValidAccessMask : 0x1f03ff
   +0x01c SecurityRequired : 0x1 ''
   +0x01d MaintainHandleCount : 0 ''
   +0x01e MaintainTypeList : 0 ''
   +0x020 PoolType         : 0 ( NonPagedPool )
   +0x024 DefaultPagedPoolCharge : 0
   +0x028 DefaultNonPagedPoolCharge : 0x288
   +0x02c DumpProcedure    : (null)
   +0x030 OpenProcedure    : (null)
   +0x034 CloseProcedure   : (null)
   +0x038 DeleteProcedure : 0x805d2e64     void nt!PspThreadDelete+0
   +0x03c ParseProcedure   : (null)
   +0x040 SecurityProcedure : 0x805f9150     long nt!SeDefaultObjectMethod+0
   +0x044 QueryNameProcedure : (null)
   +0x048 OkayToCloseProcedure : (null)
lkd> dt _OBJECT_TYPE_INITIALIZER poi(CmpKeyObjectType)+0x60
nt!_OBJECT_TYPE_INITIALIZER
   +0x000 Length           : 0x4c
   +0x002 UseDefaultObject : 0x1 ''
   +0x003 CaseInsensitive : 0 ''
   +0x004 InvalidAttributes : 0x30
   +0x008 GenericMapping   : _GENERIC_MAPPING
   +0x018 ValidAccessMask : 0x1f003f
   +0x01c SecurityRequired : 0x1 ''
   +0x01d MaintainHandleCount : 0 ''
   +0x01e MaintainTypeList : 0 ''
   +0x020 PoolType         : 1 ( PagedPool )
   +0x024 DefaultPagedPoolCharge : 0x74
   +0x028 DefaultNonPagedPoolCharge : 0
   +0x02c DumpProcedure    : (null)
   +0x030 OpenProcedure    : (null)
   +0x034 CloseProcedure   : 0x8063806e     void nt!CmpCloseKeyObject+0
   +0x038 DeleteProcedure : 0x80637f54     void nt!CmpDeleteKeyObject+0
   +0x03c ParseProcedure   : 0x8062ff1c     long nt!CmpParseKey+0
   +0x040 SecurityProcedure : 0x80637db8     long nt!CmpSecurityMethod+0
   +0x044 QueryNameProcedure : 0x80636dee     long nt!CmpQueryKeyName+0
   +0x048 OkayToCloseProcedure : (null)
lkd> dt _OBJECT_TYPE_INITIALIZER poi(IoFileObjectType)+0x60
nt!_OBJECT_TYPE_INITIALIZER
   +0x000 Length           : 0x4c
   +0x002 UseDefaultObject : 0 ''
   +0x003 CaseInsensitive : 0x1 ''
   +0x004 InvalidAttributes : 0x130
   +0x008 GenericMapping   : _GENERIC_MAPPING
   +0x018 ValidAccessMask : 0x1f01ff
   +0x01c SecurityRequired : 0 ''
   +0x01d MaintainHandleCount : 0x1 ''
   +0x01e MaintainTypeList : 0 ''
   +0x020 PoolType         : 0 ( NonPagedPool )
   +0x024 DefaultPagedPoolCharge : 0x400
   +0x028 DefaultNonPagedPoolCharge : 0xe8
   +0x02c DumpProcedure    : (null)
   +0x030 OpenProcedure    : (null)
   +0x034 CloseProcedure   : 0x805846e8     void nt!IopCloseFile+0
   +0x038 DeleteProcedure : 0x805849c6     void nt!IopDeleteFile+0
   +0x03c ParseProcedure   : 0x805845d6     long nt!IopParseFile+0
   +0x040 SecurityProcedure : 0x80584d4a     long nt!IopGetSetSecurityObject+0
   +0x044 QueryNameProcedure : 0x80583680     long nt!IopQueryName+0
   +0x048 OkayToCloseProcedure : (null)
lkd> dt _OBJECT_TYPE_INITIALIZER poi(IoDriverObjectType)+0x60
nt!_OBJECT_TYPE_INITIALIZER
   +0x000 Length           : 0x4c
   +0x002 UseDefaultObject : 0x1 ''
   +0x003 CaseInsensitive : 0x1 ''
   +0x004 InvalidAttributes : 0x100
   +0x008 GenericMapping   : _GENERIC_MAPPING
   +0x018 ValidAccessMask : 0x1f01ff
   +0x01c SecurityRequired : 0 ''
   +0x01d MaintainHandleCount : 0 ''
   +0x01e MaintainTypeList : 0 ''
   +0x020 PoolType         : 0 ( NonPagedPool )
   +0x024 DefaultPagedPoolCharge : 0
   +0x028 DefaultNonPagedPoolCharge : 0xd8
   +0x02c DumpProcedure    : (null)
   +0x030 OpenProcedure    : (null)
   +0x034 CloseProcedure   : (null)
   +0x038 DeleteProcedure : 0x8058462e     void nt!IopDeleteDriver+0
   +0x03c ParseProcedure   : (null)
   +0x040 SecurityProcedure : 0x805f9150     long nt!SeDefaultObjectMethod+0
   +0x044 QueryNameProcedure : (null)
   +0x048 OkayToCloseProcedure : (null)
lkd> dt _OBJECT_TYPE_INITIALIZER poi(IoDeviceObjectType)+0x60
nt!_OBJECT_TYPE_INITIALIZER
   +0x000 Length           : 0x4c
   +0x002 UseDefaultObject : 0x1 ''
   +0x003 CaseInsensitive : 0x1 ''
   +0x004 InvalidAttributes : 0x100
   +0x008 GenericMapping   : _GENERIC_MAPPING
   +0x018 ValidAccessMask : 0x1f01ff
   +0x01c SecurityRequired : 0 ''
   +0x01d MaintainHandleCount : 0 ''
   +0x01e MaintainTypeList : 0 ''
   +0x020 PoolType         : 0 ( NonPagedPool )
   +0x024 DefaultPagedPoolCharge : 0
   +0x028 DefaultNonPagedPoolCharge : 0xe8
   +0x02c DumpProcedure    : (null)
   +0x030 OpenProcedure    : (null)
   +0x034 CloseProcedure   : (null)
   +0x038 DeleteProcedure : 0x805846a8     void nt!IopDeleteDevice+0
   +0x03c ParseProcedure   : 0x805837e8     long nt!IopParseDevice+0
   +0x040 SecurityProcedure : 0x80584d4a     long nt!IopGetSetSecurityObject+0
   +0x044 QueryNameProcedure : (null)
   +0x048 OkayToCloseProcedure : (null)


c# hook 任意地址
qq_38754671的博客
05-10 1329
 #region hook注入操作         /// <summary>        /// 任意地址hook        /// </summary>        /// <param name="Hwnd">进程句柄</param>        /// <param name="hookaddress">hook
Native Hook详细讲解
feather(猎羽)
07-15 685
本文链接：https://blog.csdn.net/feather_wch/article/details/131737387。
Hook函数任意地址 c++
10-22
该实例实现了Hook函数任意地址的功能，并可以获取CPU寄存器的内容。
HOOK地址还原
weixin_30675247的博客
09-09 240
H头文件 ////////////////////////////////////////////////////////////////////// ////////////////////////////////////////////////////////////////////// typedef struct _ServiceDescriptorTable { PVOID S...
object hook
04-21 4738
object是什么东西？光从名字上面不难看出，对象。这篇是关于内核对象的hook，为什么要hook他呢，额，这个嘛。因人而异。 看雪上面有很详细的说明，本菜鸟算是抄袭过来而已。版权归看雪所有。 objectHook简单介绍 windbg截图为XP SP3系统。 _OBJECT_HEADER结构： typedef struct _OBJECT_HEADER
RootKit hook 之[一] object hook
06-03 868
作 者: combojiang时 间: 2008-01-08,11:43链 接: http://bbs.pediy.com/showthread.php?t=57900今天是2008年1月8号，一个非常响亮的日子，今天我们将开始rootkit实战之旅。第一篇是object hook.这篇文章来源于前段时间我逆向的机器狗代码，前段时间我只是贴出了应用的部分，对于内核的部分，我没有贴出来，主要是害怕他
万物皆可 Hook，探究 Xposed 框架 Hook 原理
杏仁技术站
07-15 3308
作者 |俞家欢低头需要勇气，抬头需要实力引言平时用着 Android 手机，喜欢折腾的同学或多或少都接触过 Xposed 框架，解锁、Root、刷包，一气呵成。本文将从原理和实践两部分带大...
Android Hook 机制之简单实战
2401_84149875的博客
04-22 1054
首先是感觉自己的基础还是不够吧，大厂好像都喜欢问这些底层原理。之前的准备只涉及了Java、Android、计网、数据结构与算法这些方面，面对面试官对其他基础课程的考察显得捉襟见肘。下一步还是要查漏补缺，进行针对性复习。最后的最后，那套资料这次一定要全部看完，是真的太全面了，各个知识点都涵盖了，几乎我面试遇到的所有问题的知识点这里面都有！希望大家不要犯和我一样的错误呀！！！一定要看完！《互联网大厂面试真题解析、进阶开发核心学习笔记、全套讲解视频、实战项目源码讲义》点击传送门即可获取！
Frida Android hook
墨鱼菜鸡
07-11 4155
From：https://eternalsakura13.com/2020/07/04/frida/ 目录 1、r0ysue 大佬 2、Frida 环境 2.1 pyenv 2.2 frida 安装 2.3 安装 objection 2.4 frida 使用 frida 帮助 和 frida-server 帮助 2.5 frida 开发...
Frida Hook 常用函数、java 层 hook、so 层 hook、RPC、群控
墨鱼菜鸡
07-11 4690
From：Frida hook 常用函数分享：https://www.52pojie.cn/thread-1196917-1-1.html From：Frida Hook Android 常用方法：https://blog.csdn.net/zhy025907/article/details/89512096 Frida 使用：https://z...
objecthook_objecthook_
09-30
hook文件对象回调函数 没有做任何事只是打印全路径
伪任意地址HOOK类
10-10
代码HOOK技术不管在安全领域还是在木马病毒方面都运用很广泛，因为他可以改变程序执行流程，悄无声息执行我们自己的代码。 之前我也用过一些hook类，如mhook等，但很多都局限于API HOOK，有的时候无法满足实际应用。也因此，我自己的hook类就诞生了。 详细说明： http://blog.csdn.net/sunflover454/article/details/49029615
内核Hook资料-Object HOOK
12-31
内核Hook资料-Object HOOK
objectHook简单介绍
o330820350的专栏
09-12 1161
标 题: 【原创】objectHook简单介绍 作 者: ggdd 时 间: 2011-01-15,13:13:20 链 接: http://bbs.pediy.com/showthread.php?t=128161 其实这东西很多大牛多玩腻了的东西，看下论坛上比较少这类的，就来献献丑，科普一下 大牛们直接 可以飘过，这东西主要是自我复习一下OBJECT的一些知识，技术这东西久了不弄
Hook--拦截IP地址访问
世事易变，匪石弗转。
10-31 873
实现一个网络访问过滤器，允许或拒绝网络连接和接受请求，基于一个黑名单中的IP地址列表。
[Windows 驱动开发] object hook
LYSM
08-30 705
内核对象种类 名称 类型 Job、Directory 对象目录中的路径 SymbolLink 符号链接 Section 内存映射文件 Port LPC端口 IoCompletion Io完成端口 File 文件（并非专指磁盘文件） Mutex、Event、Semaphore、Timer 同步对象 Key 注册表中的键 Token 用户/组令牌 Process、Thread 进程线程 Pipe 管道 Mailslot 邮件槽 Debug 调试端口
RootKit 应用之[一] object hook
weixin_30904593的博客
09-23 195
标 题: RootKit 应用之[一] object hook作 者: combojiang时 间: 2008-01-08,11:43链 接: http://bbs.pediy.com/showthread.php?t=57900今天是2008年1月8号，一个非常响亮的日子，今天我们将开始rootkit实战之旅。第一篇是objecthook.这篇文章来源于前段时间我逆向的机器狗代码，前段时间...
ObjectType HOOK干涉注册表操作
03-22 961
来看ObOpenObjectByName，它会调用ObpLookupObjectByName来打开一个对象对象头(object_header)有一个object type结构object type结构里有一个TypeInfo,结构是OBJECT_TYPE_INITIALIZER typedef struct _OBJECT_TYPE_INITIALIZER {USHORT Length;BOOLE
Object Hook 简单介绍
weixin_34370347的博客
10-30 199
其实这东西很多大牛多玩腻了的东西，看下论坛上比较少这类的，就来献献丑，科普一下大牛们直接 可以飘过，这东西主要是自我复习一下OBJECT的一些知识，技术这东西久了不弄容易忘记，所以 拿出来跟和我一样菜的菜鸟们分享一下。如果有不对的地方欢迎大家指正，这样对于自己也进步得 快点，多多交流，互相学习，水平才能提高得快。 第一我们先看下OBJECT的组成主要是3部分...
jndi如何去做hook
最新发布
08-01
// 执行原始查找 Object result = super.lookup(name); // 后置 hook：在查找后执行自定义逻辑 System.out.println("Post-hook: Lookup completed for " + name); return result; } } // 使用自定义上下文...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值