【原创】shadow ssdt学习笔记(一)(二)

水深无声 2022-09-17 14:17 297阅读 0赞

http://bbs.pediy.com/showthread.php?t=56955

<table style="color:rgb(19,37,60); border:1px solid rgb(143,160,176)"> 
 <tbody> 
 <tr> 
 <td style="line-height:20px; font-family:宋体,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif; background-color:rgb(245,245,245); border-bottom-width:0px; padding:5px; border-right-width:1px; border-right-style:solid; border-right-color:rgb(255,255,255)"> 
 <div style="table-layout:fixed"> 
 <div style="overflow-x:hidden; line-height:1.62"> 
 <div style="word-break:break-all; width:766px"> 
 标 题: 
 &nbsp;【原创】shadow ssdt学习笔记(一)(二) 
 作 者:&nbsp;zhuwg 时 间:&nbsp;2007-12-22,22:01:29 链 接:&nbsp;http://bbs.pediy.com/showthread.php?t=56955 
 1。取得shadow&nbsp;ssdt真实地址 
 系统只提供了KeServiceDescriptorTable导出 
 KeServiceDescriptorTableShadow是个未导出结构 
 
 定义 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;typedef&nbsp;struct&nbsp;_SYSTEM_SERVICE_TABLE 
 &nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;PNTPROC&nbsp;&nbsp;ServiceTable;&nbsp;&nbsp;//&nbsp;array&nbsp;of&nbsp;entry&nbsp;points 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;PDWORD&nbsp;&nbsp;CounterTable;&nbsp;&nbsp;//&nbsp;array&nbsp;of&nbsp;usage&nbsp;counters 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;DWORD&nbsp;&nbsp;ServiceLimit;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;number&nbsp;of&nbsp;table&nbsp;entries 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;PBYTE&nbsp;&nbsp;&nbsp;&nbsp;ArgumentTable;&nbsp;&nbsp;//&nbsp;array&nbsp;of&nbsp;byte&nbsp;counts 
 &nbsp;&nbsp;&nbsp;&nbsp;} 
 &nbsp;&nbsp;&nbsp;&nbsp;SYSTEM_SERVICE_TABLE, 
 &nbsp;&nbsp;&nbsp;&nbsp;*PSYSTEM_SERVICE_TABLE, 
 &nbsp;&nbsp;&nbsp;&nbsp;**PPSYSTEM_SERVICE_TABLE; 
 &nbsp;&nbsp;&nbsp;&nbsp;//----------------------------------------------------------------------------------------------------------- 
 &nbsp;&nbsp;&nbsp;&nbsp;typedef&nbsp;struct&nbsp;_SERVICE_DESCRIPTOR_TABLE 
 &nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SYSTEM_SERVICE_TABLE&nbsp;ntoskrnl;&nbsp;&nbsp;//&nbsp;ntoskrnl.exe&nbsp;(&nbsp;native&nbsp;api&nbsp;) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SYSTEM_SERVICE_TABLE&nbsp;win32k;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;win32k.sys&nbsp;(gdi/user&nbsp;support) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SYSTEM_SERVICE_TABLE&nbsp;Table3;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;not&nbsp;used 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SYSTEM_SERVICE_TABLE&nbsp;Table4;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;not&nbsp;used 
 &nbsp;&nbsp;&nbsp;&nbsp;} 
 &nbsp;&nbsp;&nbsp;&nbsp;SYSTEM_DESCRIPTOR_TABLE, 
 &nbsp;&nbsp;&nbsp;&nbsp;*PSYSTEM_DESCRIPTOR_TABLE, 
 &nbsp;&nbsp;&nbsp;&nbsp;**PPSYSTEM_DESCRIPTOR_TABLE; 
 
 
 
 其实&nbsp;KeServiceDescriptorTableShadow包含4个子结构，其中第一个就是ntoskrnl.exe&nbsp;(&nbsp;native&nbsp;api&nbsp;)，和KeServiceDescriptorTable指向一样&nbsp;我们真正需要获得的是第二个win32k.sys&nbsp;(gdi/user&nbsp;support)，第三个和第四个一般不使用 
 
 定位方法 
 1。硬编码 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;//for&nbsp;xp 
 &nbsp;&nbsp;&nbsp;&nbsp;if(gKernelVersion==WINXP) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;KeServiceDescriptorTableShadow=KeServiceDescriptorTable-0x40; 
 &nbsp;&nbsp;&nbsp;&nbsp;//for&nbsp;2k 
 &nbsp;&nbsp;&nbsp;&nbsp;if(gKernelVersion==WIN2K) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;KeServiceDescriptorTableShadow=KeServiceDescriptorTable+0xE0; 
 
 
 
 2。搜索KeAddSystemServiceTable 
 反汇编代码可以看出 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;lkd&gt;&nbsp;u&nbsp;KeAddSystemServiceTable&nbsp;l&nbsp;40 
 &nbsp;&nbsp;&nbsp;&nbsp;nt!KeAddSystemServiceTable: 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba589&nbsp;8bff&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;edi,edi 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba58b&nbsp;55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;ebp 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba58c&nbsp;8bec&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;ebp,esp 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba58e&nbsp;837d1803&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;cmp&nbsp;&nbsp;&nbsp;&nbsp;dword&nbsp;ptr&nbsp;[ebp+18h],3 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba592&nbsp;774e&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ja&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;nt!KeAddSystemServiceTable+0x6b&nbsp;(805ba5e2) 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba594&nbsp;8b4518&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;eax,dword&nbsp;ptr&nbsp;[ebp+18h] 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba597&nbsp;c1e004&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;shl&nbsp;&nbsp;&nbsp;&nbsp;eax,4 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba59a&nbsp;83b880a6558000&nbsp;&nbsp;cmp&nbsp;&nbsp;&nbsp;&nbsp;dword&nbsp;ptr&nbsp;nt!KeServiceDescriptorTable&nbsp;(8055a680)[eax],0 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5a1&nbsp;753f&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;jne&nbsp;&nbsp;&nbsp;&nbsp;nt!KeAddSystemServiceTable+0x6b&nbsp;(805ba5e2) 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5a3&nbsp;8d8840a65580&nbsp;&nbsp;&nbsp;&nbsp;lea&nbsp;&nbsp;&nbsp;&nbsp;ecx,nt!KeServiceDescriptorTableShadow&nbsp;(8055a640)[eax] 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5a9&nbsp;833900&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;cmp&nbsp;&nbsp;&nbsp;&nbsp;dword&nbsp;ptr&nbsp;[ecx],0 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5ac&nbsp;7534&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;jne&nbsp;&nbsp;&nbsp;&nbsp;nt!KeAddSystemServiceTable+0x6b&nbsp;(805ba5e2) 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5ae&nbsp;837d1801&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;cmp&nbsp;&nbsp;&nbsp;&nbsp;dword&nbsp;ptr&nbsp;[ebp+18h],1 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5b2&nbsp;8b5508&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;edx,dword&nbsp;ptr&nbsp;[ebp+8] 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5b5&nbsp;56&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;esi 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5b6&nbsp;8b7510&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;esi,dword&nbsp;ptr&nbsp;[ebp+10h] 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5b9&nbsp;57&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;edi 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5ba&nbsp;8b7d14&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;edi,dword&nbsp;ptr&nbsp;[ebp+14h] 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5bd&nbsp;8911&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;dword&nbsp;ptr&nbsp;[ecx],edx 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5bf&nbsp;8b4d0c&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;ecx,dword&nbsp;ptr&nbsp;[ebp+0Ch] 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5c2&nbsp;898844a65580&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;dword&nbsp;ptr&nbsp;nt!KeServiceDescriptorTableShadow+0x4&nbsp;(8055a644)[eax],ecx 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5c8&nbsp;89b048a65580&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;dword&nbsp;ptr&nbsp;nt!KeServiceDescriptorTableShadow+0x8&nbsp;(8055a648)[eax],esi 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5ce&nbsp;89b84ca65580&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;dword&nbsp;ptr&nbsp;nt!KeServiceDescriptorTableShadow+0xc&nbsp;(8055a64c)[eax],edi 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5d4&nbsp;0f855a3e0300&nbsp;&nbsp;&nbsp;&nbsp;jne&nbsp;&nbsp;&nbsp;&nbsp;nt!KeAddSystemServiceTable+0x4d&nbsp;(805ee434) 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5da&nbsp;5f&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;pop&nbsp;&nbsp;&nbsp;&nbsp;edi 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5db&nbsp;b001&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;al,1 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5dd&nbsp;5e&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;pop&nbsp;&nbsp;&nbsp;&nbsp;esi 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5de&nbsp;5d&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;pop&nbsp;&nbsp;&nbsp;&nbsp;ebp 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5df&nbsp;c21400&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ret&nbsp;&nbsp;&nbsp;&nbsp;14h 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5e2&nbsp;32c0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;xor&nbsp;&nbsp;&nbsp;&nbsp;al,al 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5e4&nbsp;ebf8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;jmp&nbsp;&nbsp;&nbsp;&nbsp;nt!KeAddSystemServiceTable+0x6d&nbsp;(805ba5de) 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5e6&nbsp;90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;nop 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5e7&nbsp;90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;nop 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5e8&nbsp;90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;nop 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5e9&nbsp;90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;nop 
 &nbsp;&nbsp;&nbsp;&nbsp;805ba5ea&nbsp;90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;nop 
 
 
 
 搜索办法很简单 
 就是找到 
 805ba5a3&nbsp;8d8840a65580&nbsp;&nbsp;&nbsp;&nbsp;lea&nbsp;&nbsp;&nbsp;&nbsp;ecx,nt!KeServiceDescriptorTableShadow&nbsp;(8055a640)[eax] 
 的8d88&nbsp;40a65580&nbsp;&nbsp;&nbsp;&nbsp;lea&nbsp;&nbsp;&nbsp;&nbsp;ecx,&nbsp;nt!KeServiceDescriptorTableShadow 
 代码如下 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;void&nbsp;GetKeServiceDescriptorTableShadow() 
 &nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;PUCHAR&nbsp;cPtr,&nbsp;pOpcode; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ULONG&nbsp;Length; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;for&nbsp;(cPtr&nbsp;=&nbsp;(PUCHAR)KeAddSystemServiceTable; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;cPtr&nbsp;&lt;&nbsp;(PUCHAR)KeAddSystemServiceTable&nbsp;+&nbsp;PAGE_SIZE; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;cPtr&nbsp;+=&nbsp;Length) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(!MmIsAddressValid(cPtr))&nbsp;break; 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Length&nbsp;=&nbsp;SizeOfCode(cPtr,&nbsp;&amp;pOpcode); 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(!Length&nbsp;||&nbsp;(Length&nbsp;==&nbsp;1&nbsp;&amp;&amp;&nbsp;*pOpcode&nbsp;==&nbsp;0xC3))&nbsp;break; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(*(PUSHORT)pOpcode&nbsp;==&nbsp;0x888D) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;KeServiceDescriptorTableShadow&nbsp;=&nbsp;*(PVOID&nbsp;*)(pOpcode&nbsp;+&nbsp;2); 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 &nbsp;&nbsp;&nbsp;&nbsp;} 
 
 
 
 3。从KTHREAD.ServiceTable里面搜索 
 如果是GUI线程&nbsp;那么就是指向ServiceDescriptorTableShadow 
 其实个人更加倾向这个办法&nbsp;稳定安全可靠，上面那个代码也许会受到以后系统代码变化影响&nbsp;但是这个肯定不会 
 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;GetServiceDescriptorTableShadowAddress&nbsp;proc&nbsp;uses&nbsp;esi&nbsp;edi&nbsp;ebx 
 
 &nbsp;&nbsp;&nbsp;&nbsp;local&nbsp;dwThreadId:DWORD 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;xor&nbsp;ebx,&nbsp;ebx&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;=&nbsp;NULL.&nbsp;Assume&nbsp;ServiceDescriptorTableShadow&nbsp;will&nbsp;be&nbsp;not&nbsp;found 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;eax,&nbsp;KeServiceDescriptorTable 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;esi,&nbsp;[eax] 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;Find&nbsp;KTHREAD.ServiceTable&nbsp;field 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;For&nbsp;non-GUI&nbsp;threads&nbsp;this&nbsp;field&nbsp;==&nbsp;KeServiceDescriptorTable 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;and&nbsp;it&nbsp;points&nbsp;to&nbsp;ServiceDescriptorTable 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;For&nbsp;GUI&nbsp;threads 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;ServiceDescriptorTableShadow 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;invoke&nbsp;KeGetCurrentThread 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;edi,&nbsp;200h-4 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.while&nbsp;edi 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.break&nbsp;.if&nbsp;dword&nbsp;ptr&nbsp;[eax][edi]&nbsp;==&nbsp;esi 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dec&nbsp;edi 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.endw 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.if&nbsp;edi&nbsp;!=&nbsp;0 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;edi&nbsp;=&nbsp;offset&nbsp;to&nbsp;ServiceTable&nbsp;field&nbsp;in&nbsp;KTHREAD&nbsp;structure 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;dwThreadId,&nbsp;080h 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.while&nbsp;dwThreadId&nbsp;&lt;&nbsp;400h 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;eax&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;reserve&nbsp;DWORD&nbsp;on&nbsp;stack 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;invoke&nbsp;PsLookupThreadByThreadId,&nbsp;dwThreadId,&nbsp;esp 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;pop&nbsp;ecx&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;-&gt;&nbsp;ETHREAD/KTHREAD 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.if&nbsp;eax&nbsp;==&nbsp;STATUS_SUCCESS 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;dword&nbsp;ptr&nbsp;[ecx][edi] 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;fastcall&nbsp;ObfDereferenceObject,&nbsp;ecx 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;pop&nbsp;eax 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.if&nbsp;eax&nbsp;!=&nbsp;esi 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;edx,&nbsp;MmSystemRangeStart 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;edx,&nbsp;[edx] 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;edx,&nbsp;[edx] 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.if&nbsp;eax&nbsp;&gt;&nbsp;edx&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;some&nbsp;stupid&nbsp;error&nbsp;checking 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;ebx,&nbsp;eax 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;invoke&nbsp;DbgPrint,&nbsp;$CTA0("FindShadowTable:&nbsp;Found&nbsp;in&nbsp;thread&nbsp;with&nbsp;ID:&nbsp;%X\n"),&nbsp;dwThreadId 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.break 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.endif 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.endif 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.endif 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;add&nbsp;dwThreadId,&nbsp;4 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.endw 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.endif 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;eax,&nbsp;ebx 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ret 
 
 &nbsp;&nbsp;&nbsp;&nbsp;GetServiceDescriptorTableShadowAddress&nbsp;endp 
 
 
 
 4.mj0011所说的搜索有效内存地址的办法 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;/* 
 &nbsp;&nbsp;&nbsp;&nbsp;define&nbsp;structure&nbsp;for&nbsp;the&nbsp;system&nbsp;service&nbsp;table 
 &nbsp;&nbsp;&nbsp;&nbsp;*/ 
 &nbsp;&nbsp;&nbsp;&nbsp;struct&nbsp;SYS_SERVICE_TABLE&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;void&nbsp;**ServiceTable; 
 &nbsp;&nbsp;&nbsp;&nbsp;unsigned&nbsp;long&nbsp;CounterTable; 
 &nbsp;&nbsp;&nbsp;&nbsp;unsigned&nbsp;long&nbsp;ServiceLimit; 
 &nbsp;&nbsp;&nbsp;&nbsp;void&nbsp;**ArgumentsTable; 
 &nbsp;&nbsp;&nbsp;&nbsp;}; 
 
 &nbsp;&nbsp;&nbsp;&nbsp;SYSTEM_DESCRIPTOR_TABLE&nbsp;KeServiceDescriptorTableShadow; 
 
 &nbsp;&nbsp;&nbsp;&nbsp;/* 
 &nbsp;&nbsp;&nbsp;&nbsp;Define&nbsp;KeServiceDescriptorTable&nbsp;based&nbsp;on&nbsp;the&nbsp;SST&nbsp;structure 
 &nbsp;&nbsp;&nbsp;&nbsp;*/ 
 &nbsp;&nbsp;&nbsp;&nbsp;extern&nbsp;struct&nbsp;SYS_SERVICE_TABLE&nbsp;*KeServiceDescriptorTable; 
 
 &nbsp;&nbsp;&nbsp;&nbsp;/* 
 &nbsp;&nbsp;&nbsp;&nbsp;Declare&nbsp;function&nbsp;GetServiceDescriptorShadowTableAddress() 
 &nbsp;&nbsp;&nbsp;&nbsp;*/ 
 &nbsp;&nbsp;&nbsp;&nbsp;//struct&nbsp;SYS_SERVICE_TABLE&nbsp;*&nbsp;GetServiceDescriptorShadowTableAddress&nbsp;(); 
 &nbsp;&nbsp;&nbsp;&nbsp;/* 
 &nbsp;&nbsp;&nbsp;&nbsp;Declare&nbsp;the&nbsp;KeAddSystemServiceTable.&nbsp;This&nbsp;is&nbsp;just&nbsp;a 
 &nbsp;&nbsp;&nbsp;&nbsp;handle&nbsp;to&nbsp;the&nbsp;call&nbsp;function,&nbsp;it&nbsp;will&nbsp;be&nbsp;used&nbsp;by&nbsp;the&nbsp;function 
 &nbsp;&nbsp;&nbsp;&nbsp;above&nbsp;to&nbsp;obtain&nbsp;the&nbsp;correct&nbsp;address&nbsp;of&nbsp;the&nbsp;KeServiceDescriptorShadowTable 
 &nbsp;&nbsp;&nbsp;&nbsp;*/ 
 &nbsp;&nbsp;&nbsp;&nbsp;__declspec(dllimport)&nbsp;KeAddSystemServiceTable&nbsp;(ULONG,&nbsp;ULONG,&nbsp;ULONG,&nbsp;ULONG,&nbsp;ULONG); 
 
 &nbsp;&nbsp;&nbsp;&nbsp;struct&nbsp;SYS_SERVICE_TABLE&nbsp;*&nbsp;GetServiceDescriptorShadowTableAddress&nbsp;() 
 &nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;First,&nbsp;obtain&nbsp;a&nbsp;pointer&nbsp;to&nbsp;KeAddSystemServiceTable 
 &nbsp;&nbsp;&nbsp;&nbsp;unsigned&nbsp;char&nbsp;*check&nbsp;=&nbsp;(unsigned&nbsp;char*)KeAddSystemServiceTable; 
 &nbsp;&nbsp;&nbsp;&nbsp;int&nbsp;i; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//Initialize&nbsp;an&nbsp;instance&nbsp;of&nbsp;System&nbsp;Service&nbsp;Table,&nbsp;will&nbsp;be&nbsp;used&nbsp;to 
 &nbsp;&nbsp;&nbsp;&nbsp;//obtain&nbsp;an&nbsp;address&nbsp;from&nbsp;KeAddSystemServiceTable 
 &nbsp;&nbsp;&nbsp;&nbsp;struct&nbsp;SYS_SERVICE_TABLE&nbsp;*rc=0; 
 &nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;Make&nbsp;100&nbsp;attempts&nbsp;to&nbsp;match&nbsp;a&nbsp;valid&nbsp;address&nbsp;with&nbsp;that&nbsp;of&nbsp;KeServiceDescriptorTable 
 &nbsp;&nbsp;&nbsp;&nbsp;for&nbsp;(i=0;&nbsp;i&lt;=99;&nbsp;i++)&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__try&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;try&nbsp;to&nbsp;obtain&nbsp;an&nbsp;address&nbsp;from&nbsp;&nbsp;KeAddSystemServiceTable 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;rc&nbsp;=&nbsp;*(struct&nbsp;SYS_SERVICE_TABLE**)check; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;if&nbsp;this&nbsp;address&nbsp;is&nbsp;NOT&nbsp;valid&nbsp;OR&nbsp;it&nbsp;itself&nbsp;is&nbsp;the&nbsp;address&nbsp;of 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//KeServiceDescriptorTable&nbsp;OR&nbsp;its&nbsp;first&nbsp;entry&nbsp;is&nbsp;NOT&nbsp;equal 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//to&nbsp;the&nbsp;first&nbsp;entry&nbsp;of&nbsp;KeServiceDescriptorTable 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(!MmIsAddressValid&nbsp;(rc)&nbsp;||&nbsp;(rc&nbsp;==&nbsp;KeServiceDescriptorTable) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;||&nbsp;(memcmp&nbsp;(rc,&nbsp;KeServiceDescriptorTable,&nbsp;sizeof&nbsp;(*rc))&nbsp;!=&nbsp;0))&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;Proceed&nbsp;with&nbsp;the&nbsp;next&nbsp;address 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;check++; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;don't&nbsp;forget&nbsp;to&nbsp;reset&nbsp;the&nbsp;old&nbsp;address 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;rc&nbsp;=&nbsp;0; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}&nbsp;__except&nbsp;(EXCEPTION_EXECUTE_HANDLER)&nbsp;{&nbsp;rc&nbsp;=&nbsp;0;&nbsp;} 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;when&nbsp;the&nbsp;loop&nbsp;is&nbsp;completed,&nbsp;check&nbsp;if&nbsp;it&nbsp;produced&nbsp;a&nbsp;valid&nbsp;address 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(rc) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;because&nbsp;if&nbsp;it&nbsp;didn't,&nbsp;we&nbsp;failed&nbsp;to&nbsp;find&nbsp;the&nbsp;address&nbsp;of&nbsp;KeServiceDescriptorTableShadow 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break; 
 &nbsp;&nbsp;&nbsp;&nbsp;} 
 &nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;otherwise,&nbsp;there&nbsp;is&nbsp;a&nbsp;valid&nbsp;address!&nbsp;So&nbsp;return&nbsp;it! 
 &nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;rc; 
 &nbsp;&nbsp;&nbsp;&nbsp;} 
 
 
 
 
 
 二。函数名定位 
 这个似乎没有多少好办法，解析pdb可以是可以&nbsp;但是很麻烦 
 不过还好的是&nbsp;同一个版本的系统&nbsp;调用号一样 
 所以只需要3套&nbsp;2k&nbsp;xp&nbsp;2k3的调用号就可以完成hook 
 pdb办法 
 SymInitialize初始化 
 SymSetSearchPath&nbsp;“srv**symbols*http://msdl.microsoft.com/” 
 SymLoadModule 
 SymGetSymFromName 
 老v曾经发出1个获取shadow地址和函数名称的工具&nbsp;使用他可以很方便的获取 
 具体代码可以F5查看 
 以上读取pdb的方法测试使用的可以的 
 但是实际使用很麻烦 
 
 经过分析&nbsp;我找到了1个比较好的定位办法 
 我们以SetWindowsHookExA为例子 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D1&nbsp;;&nbsp;HHOOK&nbsp;__stdcall&nbsp;SetWindowsHookExA(int&nbsp;idHook,&nbsp;HOOKPROC&nbsp;lpfn,&nbsp;HINSTANCE&nbsp;hmod,&nbsp;DWORD&nbsp;dwThreadId) 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D1&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;public&nbsp;_SetWindowsHookExA@16 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D1&nbsp;_SetWindowsHookExA@16&nbsp;proc&nbsp;near 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D1 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D1&nbsp;idHook&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;8 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D1&nbsp;lpfn&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;0Ch 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D1&nbsp;hModule&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;10h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D1&nbsp;dwThreadId&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;14h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D1 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D1&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;edi,&nbsp;edi 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;ebp 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;ebp,&nbsp;esp 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D6&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;2&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;int 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311D8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+dwThreadId]&nbsp;;&nbsp;int 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311DB&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+hModule]&nbsp;&nbsp;;&nbsp;hModule 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311DE&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+lpfn]&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;int 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311E1&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+idHook]&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;int 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311E4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;call&nbsp;&nbsp;&nbsp;&nbsp;_SetWindowsHookExAW@20&nbsp;;&nbsp;SetWindowsHookExAW(x,x,x,x,x) 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311E9&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;pop&nbsp;&nbsp;&nbsp;&nbsp;ebp 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311EA&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;retn&nbsp;&nbsp;&nbsp;&nbsp;10h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D311EA&nbsp;_SetWindowsHookExA@16&nbsp;endp 
 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD&nbsp;;&nbsp;int&nbsp;__stdcall&nbsp;SetWindowsHookExAW(int,&nbsp;int,&nbsp;HMODULE&nbsp;hModule,&nbsp;int,&nbsp;int) 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD&nbsp;_SetWindowsHookExAW@20&nbsp;proc&nbsp;near&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;CODE&nbsp;XREF:&nbsp;SetWindowsHookExW(x,x,x,x)+13p 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;SetWindowsHookExA(x,x,x,x)+13p 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD&nbsp;Filename&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;word&nbsp;ptr&nbsp;-20Ch 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD&nbsp;var_4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;-4 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD&nbsp;arg_0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;8 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD&nbsp;arg_4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;0Ch 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD&nbsp;hModule&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;10h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD&nbsp;arg_C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;14h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD&nbsp;arg_10&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;18h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFD&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;edi,&nbsp;edi 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DCFF&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;ebp 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;ebp,&nbsp;esp 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD02&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub&nbsp;&nbsp;&nbsp;&nbsp;esp,&nbsp;20Ch 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;eax,&nbsp;___security_cookie 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD0D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;esi 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD0E&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;esi,&nbsp;[ebp+hModule] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD11&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;test&nbsp;&nbsp;&nbsp;&nbsp;esi,&nbsp;esi 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD13&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;edi 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD14&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;edi,&nbsp;[ebp+arg_4] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD17&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;[ebp+var_4],&nbsp;eax 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD1A&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;jz&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;short&nbsp;loc_77D2DD33 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD1C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;104h&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;nSize 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD21&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;lea&nbsp;&nbsp;&nbsp;&nbsp;eax,&nbsp;[ebp+Filename] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD27&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;eax&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;lpFilename 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD28&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;esi&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;hModule 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD29&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;call&nbsp;&nbsp;&nbsp;&nbsp;ds:__imp__GetModuleFileNameW@12&nbsp;;&nbsp;GetModuleFileNameW(x,x,x) 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD2F&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;test&nbsp;&nbsp;&nbsp;&nbsp;eax,&nbsp;eax 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD31&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;jz&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;short&nbsp;loc_77D2DD52 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD33 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD33&nbsp;loc_77D2DD33:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;CODE&nbsp;XREF:&nbsp;SetWindowsHookExAW(x,x,x,x,x)+1Dj 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD33&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+arg_10] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD36&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;eax,&nbsp;esi 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD38&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;edi 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD39&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+arg_0] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD3C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;neg&nbsp;&nbsp;&nbsp;&nbsp;eax 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD3E&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+arg_C] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD41&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sbb&nbsp;&nbsp;&nbsp;&nbsp;eax,&nbsp;eax 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD43&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;lea&nbsp;&nbsp;&nbsp;&nbsp;ecx,&nbsp;[ebp+Filename] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD49&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;and&nbsp;&nbsp;&nbsp;&nbsp;eax,&nbsp;ecx 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD4B&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;eax 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD4C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;esi 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD4D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;call&nbsp;&nbsp;&nbsp;&nbsp;__SetWindowsHookEx@24&nbsp;;&nbsp;_SetWindowsHookEx(x,x,x,x,x,x) 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD52 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD52&nbsp;loc_77D2DD52:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;CODE&nbsp;XREF:&nbsp;SetWindowsHookExAW(x,x,x,x,x)+34j 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD52&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;ecx,&nbsp;[ebp+var_4] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;pop&nbsp;&nbsp;&nbsp;&nbsp;edi 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD56&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;pop&nbsp;&nbsp;&nbsp;&nbsp;esi 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD57&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;call&nbsp;&nbsp;&nbsp;&nbsp;@__security_check_cookie@4&nbsp;;&nbsp;__security_check_cookie(x) 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD5C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;leave 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD5D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;retn&nbsp;&nbsp;&nbsp;&nbsp;14h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD5D&nbsp;_SetWindowsHookExAW@20&nbsp;endp 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD5D 
 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;;&nbsp;__stdcall&nbsp;_SetWindowsHookEx(x,&nbsp;x,&nbsp;x,&nbsp;x,&nbsp;x,&nbsp;x) 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;__SetWindowsHookEx@24&nbsp;proc&nbsp;near&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;CODE&nbsp;XREF:&nbsp;SetWindowsHookExAW(x,x,x,x,x)+50p 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;var_10&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;byte&nbsp;ptr&nbsp;-10h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;var_8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;-8 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;var_4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;-4 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;arg_0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;8 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;arg_4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;0Ch 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;arg_8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;10h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;arg_C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;14h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;arg_10&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;18h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;arg_14&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=&nbsp;dword&nbsp;ptr&nbsp;&nbsp;1Ch 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD65&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;edi,&nbsp;edi 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD67&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;ebp 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD68&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;ebp,&nbsp;esp 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD6A&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub&nbsp;&nbsp;&nbsp;&nbsp;esp,&nbsp;10h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD6D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+arg_4] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD70&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;and&nbsp;&nbsp;&nbsp;&nbsp;[ebp+var_4],&nbsp;0 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD74&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;lea&nbsp;&nbsp;&nbsp;&nbsp;eax,&nbsp;[ebp+var_10] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD77&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;eax 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD78&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;[ebp+var_8],&nbsp;eax 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD7B&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;call&nbsp;&nbsp;&nbsp;&nbsp;ds:__imp__RtlInitUnicodeString@8&nbsp;;&nbsp;RtlInitUnicodeString(x,x) 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD81&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+arg_14] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD84&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+arg_10] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD87&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+arg_C] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD8A&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+arg_8] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD8D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+var_8] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;push&nbsp;&nbsp;&nbsp;&nbsp;[ebp+arg_0] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD93&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;call&nbsp;&nbsp;&nbsp;&nbsp;_NtUserSetWindowsHookEx@24&nbsp;;&nbsp;NtUserSetWindowsHookEx(x,x,x,x,x,x) 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD98&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;leave 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD99&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;retn&nbsp;&nbsp;&nbsp;&nbsp;18h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD99&nbsp;__SetWindowsHookEx@24&nbsp;endp 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DD99 
 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DDA1&nbsp;;&nbsp;__stdcall&nbsp;NtUserSetWindowsHookEx(x,&nbsp;x,&nbsp;x,&nbsp;x,&nbsp;x,&nbsp;x) 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DDA1&nbsp;_NtUserSetWindowsHookEx@24&nbsp;proc&nbsp;near&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;CODE&nbsp;XREF:&nbsp;_SetWindowsHookEx(x,x,x,x,x,x)+2Ep 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DDA1&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;eax,&nbsp;1225h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DDA6&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;edx,&nbsp;7FFE0300h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DDAB&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;call&nbsp;&nbsp;&nbsp;&nbsp;dword&nbsp;ptr&nbsp;[edx] 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DDAD&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;retn&nbsp;&nbsp;&nbsp;&nbsp;18h 
 &nbsp;&nbsp;&nbsp;&nbsp;.text:77D2DDAD&nbsp;_NtUserSetWindowsHookEx@24&nbsp;endp 
 
 
 
 我们看这里&nbsp;.text:77D2DDA1&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;mov&nbsp;&nbsp;&nbsp;&nbsp;eax,&nbsp;1225h 
 里面有和ssdt一样的调用号&nbsp;但是有个问题&nbsp;NtUserSetWindowsHookEx在user32里面没有导出，我们需要多次搜索才行 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;HHOOK&nbsp;STDCALL&nbsp;&nbsp;&nbsp;&nbsp;NtUserSetWindowsHookEx&nbsp;(HINSTANCE&nbsp;Mod,&nbsp;PUNICODE_STRING&nbsp;UnsafeModuleName,&nbsp;DWORD&nbsp;ThreadId,&nbsp;int&nbsp;HookId,&nbsp;HOOKPROC&nbsp;HookProc,&nbsp;BOOL&nbsp;Ansi) 
 
 这个就是原型&nbsp;不过搜索起来确实是比较麻烦的，不知道还有无其他好办法了&nbsp; 
 
 </div> 
 </div> 
 </div> </td> 
 </tr> 
 <tr> 
 <td style="line-height:20px; font-family:宋体,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif; background-color:rgb(245,245,245); border-bottom-width:0px; padding:5px"> &nbsp;</td> 
 </tr> 
 <tr> 
 <td align="right" style="line-height:20px; font-family:宋体,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif; background-color:rgb(245,245,245); border-width:0px 1px 1px 0px; border-bottom-style:solid; border-bottom-color:rgb(255,255,255); padding:5px; border-right-style:solid; border-right-color:rgb(255,255,255)"> 
 <div style="line-height:normal"> 
 <img src="http://bbs.pediy.com/images/pediy/statusicon/line.gif" alt=""> 
 
 <a href="http://bbs.pediy.com/showthread.php?t=88343" style="color:rgb(0,0,0); text-decoration:none" rel="nofollow">[公告]请注意言行举止，不要让大家觉得不适！</a> 
 </div> 
 <div style="float:left"> 
 <div style="float:left"></div> 
 </div> <a href="http://bbs.pediy.com/newreply.php?do=newreply&amp;p=394838" style="color:rgb(0,0,0); text-decoration:none" rel="nofollow"><img src="http://bbs.pediy.com/images/pediy/buttons/quote.gif" alt="回复时引用此帖" title="回复时引用此帖"></a>&nbsp;<a href="http://bbs.pediy.com/showthread.php?t=56955#top" style="color:rgb(0,0,0); text-decoration:none" rel="nofollow"><img src="http://bbs.pediy.com/images/pediy/buttons/top.gif" alt="返回顶端" title="返回顶端"></a></td> 
 </tr> 
 </tbody> 
</table>

<table style="color:rgb(19,37,60); border:1px solid rgb(143,160,176)"> 
 <tbody> 
 <tr> 
 <td style="font-family:宋体,'courier new',simsun,tahoma,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif; background-color:rgb(222,223,223); color:rgb(0,0,0); border-width:0px; border-right-style:solid; border-left-style:solid; border-right-color:rgb(255,255,255); border-left-color:rgb(255,255,255)"> 
 <div> 
 <a href="http://bbs.pediy.com/member.php?u=20643" style="font-size:11pt; font-family:verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif; color:rgb(0,0,0); text-decoration:none" rel="nofollow">zhuwg</a> 
 <div style="font-family:宋体,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif"> 
 <img src="http://bbs.pediy.com/images/onlineranks/level3.gif" alt="级别:18 | 在线时长:407小时 | 升级还需:30小时" title="级别:18 | 在线时长:407小时 | 升级还需:30小时" style="vertical-align:middle"> 
 <img src="http://bbs.pediy.com/images/onlineranks/level1.gif" alt="级别:18 | 在线时长:407小时 | 升级还需:30小时" title="级别:18 | 在线时长:407小时 | 升级还需:30小时" style="vertical-align:middle"> 
 <img src="http://bbs.pediy.com/images/onlineranks/level1.gif" alt="级别:18 | 在线时长:407小时 | 升级还需:30小时" title="级别:18 | 在线时长:407小时 | 升级还需:30小时" style="vertical-align:middle"> 
 </div> 
 </div> 
 <div style="font-family:宋体,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif"> 
 <img src="http://bbs.pediy.com/images/bar/stars06.gif" alt="高级会员" title="高级会员"> 
 </div> 
 <div style="font-family:宋体,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif">
 高级会员 
 </div> 
 <div style="font-family:宋体,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif"> 资　料: 
 <div>
 注册日期: Jul 2005 
 </div> 
 <div>
 帖子:&nbsp; 
 <a href="http://bbs.pediy.com/search.php?do=finduser&amp;u=20643" style="color:rgb(0,0,0); text-decoration:none" rel="nofollow">684</a>&nbsp; 
 <img src="http://bbs.pediy.com/images/reputation/reputation_pos.gif" alt="zhuwg 品行端正" title="zhuwg 品行端正" style="vertical-align:middle"> 
 </div> 
 <div>
 精华:&nbsp; 
 <a href="http://bbs.pediy.com/search.php?do=finduser&amp;goodnees=1&amp;u=20643" style="color:rgb(0,0,0); text-decoration:none" rel="nofollow">11</a> 
 </div> 
 <div>
 现金: 286 Kx 
 </div> 
 <div>
 致谢数: 11 
 </div> 
 <div>
 获感谢文章数：1 
 获会员感谢数：1 
 </div> 
 </div> </td> 
 <td style="line-height:20px; font-family:宋体,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif; background-color:rgb(245,245,245); border-bottom-width:0px; padding:5px; border-right-width:1px; border-right-style:solid; border-right-color:rgb(255,255,255)"> 
 <table> 
 <tbody> 
 <tr> 
 <td style="font-family:宋体,'courier new',simsun,tahoma,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif"> 
 <div style="font-family:宋体,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif"> 
 <a href="http://bbs.pediy.com/showpost.php?p=394839&amp;postcount=2" style="color:rgb(0,0,0); text-decoration:none" rel="nofollow">2</a>&nbsp; 
 <a rel="nofollow"><img src="http://bbs.pediy.com/images/pediy/statusicon/post_old.gif" alt="旧" title="旧" style="vertical-align:middle"></a>&nbsp;2007-12-22, 22:02:37&nbsp; 
 <img src="http://bbs.pediy.com/images/icons/icon1.gif" alt="默认" title="默认" style="vertical-align:middle">&nbsp; 
 【原创】shadow ssdt学习笔记(二) 
 </div> </td> 
 <td align="right" style="font-family:宋体,'courier new',simsun,tahoma,verdana,geneva,lucida,'lucida grande',arial,helvetica,sans-serif"> <img src="http://bbs.pediy.com/images/pediy/statusicon/user_offline.gif" alt="zhuwg 当前离线" title="zhuwg 当前离线" style="vertical-align:middle"></td> 
 </tr> 
 </tbody> 
 </table> 
 <hr> 
 <div style="table-layout:fixed"> 
 <div style="overflow-x:hidden; line-height:1.62"> 
 <div style="word-break:break-all; width:766px">
 三。如何hook 
 似乎这个问题并不大，shadow&nbsp;ssdt和ssdt本质上都是1个地址表，最为简单的方法是把你的函数替换地址表的对应项，具体hook代码甚至可以完全照抄ssdt的，这里只说1下几个偶遇到的小问题 
 1。win32k.sys不是常在内存的，如果不是GUI线程，shadow&nbsp;ssdt地址无效 
 解决办法： 
 1。在driverdispatch中hokk 
 driverdispatch是位于执行driveriocontrol的线程上下文的 
 我们使用1个GUI线程去driveriocontrol 
 
 2。attachtoprocess 
 通常&nbsp;我们使用cerss.exe 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;HANDLE&nbsp;GetCsrPid() 
 &nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HANDLE&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Process,&nbsp;hObject; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HANDLE&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;CsrId&nbsp;=&nbsp;(HANDLE)0; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;OBJECT_ATTRIBUTES&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;obj; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;CLIENT_ID&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;cid; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;UCHAR&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Buff[0x100]; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;POBJECT_NAME_INFORMATION&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ObjName&nbsp;=&nbsp;(PVOID)&amp;Buff; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;PSYSTEM_HANDLE_INFORMATION_EX&nbsp;Handles; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ULONG&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;r; 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Handles&nbsp;=&nbsp;GetInfoTable(SystemHandleInformation); 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(!Handles)&nbsp;return&nbsp;CsrId; 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;for&nbsp;(r&nbsp;=&nbsp;0;&nbsp;r&nbsp;&lt;&nbsp;Handles-&gt;NumberOfHandles;&nbsp;r++) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(Handles-&gt;Information[r].ObjectTypeNumber&nbsp;==&nbsp;21)&nbsp;//Port&nbsp;object 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;InitializeObjectAttributes(&amp;obj,&nbsp;NULL,&nbsp;OBJ_KERNEL_HANDLE,&nbsp;NULL,&nbsp;NULL); 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;cid.UniqueProcess&nbsp;=&nbsp;(HANDLE)Handles-&gt;Information[r].ProcessId; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;cid.UniqueThread&nbsp;&nbsp;=&nbsp;0; 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(NT_SUCCESS(NtOpenProcess(&amp;Process,&nbsp;PROCESS_DUP_HANDLE,&nbsp;&amp;obj,&nbsp;&amp;cid))) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(NT_SUCCESS(ZwDuplicateObject(Process, 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(HANDLE)Handles-&gt;Information[r].Handle, 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;NtCurrentProcess(), 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&amp;hObject, 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,&nbsp;0,&nbsp;DUPLICATE_SAME_ACCESS))) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(NT_SUCCESS(ZwQueryObject(hObject, 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ObjectNameInformation, 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ObjName, 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x100,&nbsp;NULL))) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(ObjName-&gt;Name.Buffer&nbsp;&amp;&amp; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;!wcsncmp(L"\\Windows\\ApiPort",&nbsp;ObjName-&gt;Name.Buffer,&nbsp;20)) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;CsrId&nbsp;=&nbsp;(HANDLE)Handles-&gt;Information[r].ProcessId; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ZwClose(hObject); 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ZwClose(Process); 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ExFreePool(Handles); 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;CsrId; 
 &nbsp;&nbsp;&nbsp;&nbsp;} 
 
 
 
 然后我们KeAttachProcess 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ntStatus&nbsp;=&nbsp;PsLookupProcessByProcessId(GetCsrPid(),&nbsp;&amp;EProcess); 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(!NT_SUCCESS(&nbsp;ntStatus&nbsp;)) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{ 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;DbgPrint("PsLookupProcessByProcessId()\n"); 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;ntStatus; 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;KeAttachProcess(EProcess); 
 
 
 
 3.使用MDL映射一块不分页内存，设置成可以写入 
 不分页内存&nbsp;&nbsp;ExAllocatePool(NonPagedPool 
 即为不会被切换到pagefile的内存，是常驻在物理内存的，比较希缺，使用完毕以后记住释放掉 
 参考regmon的代码 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;PVOID&nbsp;* 
 &nbsp;&nbsp;&nbsp;&nbsp;RegmonMapServiceTable( 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SERVICE_HOOK_DESCRIPTOR&nbsp;**ServiceIsHooked 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;) 
 &nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*ServiceIsHooked&nbsp;=&nbsp;(SERVICE_HOOK_DESCRIPTOR*) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ExAllocatePool(NonPagedPool,&nbsp;KeServiceDescriptorTable-&gt;TableSize); 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if(&nbsp;*ServiceIsHooked&nbsp;) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;RtlZeroMemory(*ServiceIsHooked,&nbsp;KeServiceDescriptorTable-&gt;TableSize); 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;KeServiceTableMdl&nbsp;=&nbsp;MmCreateMdl(0,&nbsp;KeServiceDescriptorTable-&gt;ServiceTable,&nbsp;KeServiceDescriptorTable-&gt;TableSize&nbsp;&lt;&lt;&nbsp;2); 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if(&nbsp;KeServiceTableMdl&nbsp;) 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{ 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;MmBuildMdlForNonPagedPool(KeServiceTableMdl); 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;KeServiceTableMdl-&gt;MdlFlags&nbsp;|=&nbsp;1; 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;(PVOID*)MmMapLockedPages(KeServiceTableMdl,&nbsp;KernelMode); 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} 
 
 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;NULL; 
 &nbsp;&nbsp;&nbsp;&nbsp;}; 
 
 
 
 看起来shadowssdt何hook本身并没有什么难度 
 只要正确定位了地址，hook起来和ssdt完全一样 
 unhook不在重复&nbsp;完全抄ssdt的代码即可 
 
 四。checkhook 
 hook用的人多了&nbsp;难免出现重复hook的情况&nbsp;为了实现和别人的东西和平共处，最好hook之前做个检测 
 hook的方法是固定的，就那么2种&nbsp;改地址表&nbsp;或者inline&nbsp;hook，我们分别来对待 
 1。修改地址表的hook 
 &nbsp;&nbsp;这个对付起来几乎不用特别对待，只是你保存的OldFunc是其他的程序hook函数所在的地址，判断方法很简单，看看这个地址在不在win32k的模块里面，和平共处的办法是你的myfunc里面call别人的hook函数，当然&nbsp;如果你不想要别人的hook了，直接搜索到原始地址call之也是可行的 
 另外说1下&nbsp;在别人的函数里面搜索原始地址&nbsp;用MmIsAddressValid＋ismodulewin32k 
 可以判断（这个办法好像是在mj文章里面看到的&nbsp;记不清了） 
 2。inlinehook 
 这个比较麻烦了&nbsp;如果是修改前面5个字节还好，直接替换处理都可以不改变 
 麻烦是函数中间地方被hook，盲目修改可能直接BSOD了，这个需要1个反汇编引擎来帮助分析代码字节长度，海风大大的hooklib很不错&nbsp;可以完成这个功能 
 
 五，简单说1下restore 
 Copy&nbsp;code 
 
 &nbsp;&nbsp;&nbsp;&nbsp;pWin32k&nbsp;=&nbsp;GetModuleHandle("win32k.sys"); 
 &nbsp;&nbsp;&nbsp;&nbsp;SdtRVA&nbsp;=&nbsp;&amp;KeServiceDescriptorTable-&gt;win32k.ServiceTable&nbsp;-&nbsp;pWin32k&nbsp;; 
 &nbsp;&nbsp;&nbsp;&nbsp;w32kCopy&nbsp;=&nbsp;LoadPeFile("win32k.sys"); 
 &nbsp;&nbsp;&nbsp;&nbsp;ProcessRelocs(w32kCopy,&nbsp;pWin32k); 
 &nbsp;&nbsp;&nbsp;&nbsp;memcpy(&amp;KeServiceDescriptorTable-&gt;win32k.ServiceTable,&nbsp;w32kCopy&nbsp;+&nbsp;SdtRVA,&nbsp;SdtSize); 
 
 不过&nbsp;其实可以不用ProcessRelocs处理 
 因为你可以使用lordpe查看1下&nbsp;win32k.sys的默认基址就是系统加载的基址 
 可以不需要ProcessRelocs，不过为了更加方便和通用，这么做也可以的 
 
 休息去咯－－－&nbsp; 
 </div> 
 </div> 
 </div> </td> 
 </tr> 
 </tbody> 
</table>