SDT内核模式挂钩

Question

我正在做一个实验来成功挂接全局的API调用，并且我读了关于SDT（服务描述符表）和内核模式驱动程序的地方。

这种钩子是否适用于驻留在user32.dll之类的调用？

Answer 1

这将挂钩需要进入内核模式运行的所有内容（I/O，文件系统，进程/线程，内核对象）。

尽管它们非常不稳定，并且不应该使用。您只能在x86系统上执行SDT挂接，因为在x64上，KeServiceDescriptorTable符号不会被ntoskrnl导出，并且PatchGuard将会以bug检查BSOD来最终确定您的系统。

绕过KPP的方法很多，但我不建议您继续操作。