为何在文件过滤驱动中hook zwTerminateProcess导致系统蓝屏?

何贵君

为何在文件过滤驱动中hook zwTerminateProcess导致系统蓝屏? [复制链接]

我想在文件过滤驱动中hook zwTerminateProcess 或是 hook zwOpenProcess，用于防止杀死指定的进程.
但是在我在hook时系统马上蓝屏了。
但我用同样的方法hook ZwCreateSection却没有问题。

所以我想问问大家如何在文件过滤驱动中hook zwTerminateProcess？

64331351

        HOOK_SYSCALL(ZwFlushKey, HookRegFlushKey, RealRegFlushKey);
                HOOK_SYSCALL(ZwDeleteKey, HookRegDeleteKey, RealRegDeleteKey);
                HOOK_SYSCALL(ZwSetValueKey, HookRegSetValueKey, RealRegSetValueKey);
                HOOK_SYSCALL(ZwCreateKey, HookRegCreateKey, RealRegCreateKey);
                HOOK_SYSCALL(ZwDeleteValueKey, HookRegDeleteValueKey, RealRegDeleteValueKey);

                HOOK_SYSCALL(ZwCreateSection, HookCreateSection, RealCreateSection);//程序执行到这里没有问题       
                HOOK_SYSCALL(ZwTerminateProcess,HookTerminateProcess, RealTerminateProcess);//执行这句代码是蓝屏了

请问是怎么回事？有人遇到这种情况吗？

崔明义

没遇到。

帮顶下，MARK

shunv424

PVOID *KeServiceTablePointers;
SERVICE_HOOK_DESCRIPTOR *HookDescriptors;
        HOOK_SYSCALL(ZwFlushKey, HookRegFlushKey, RealRegFlushKey);
                HOOK_SYSCALL(ZwDeleteKey, HookRegDeleteKey, RealRegDeleteKey);
                HOOK_SYSCALL(ZwSetValueKey, HookRegSetValueKey, RealRegSetValueKey);
                HOOK_SYSCALL(ZwCreateKey, HookRegCreateKey, RealRegCreateKey);
                HOOK_SYSCALL(ZwDeleteValueKey, HookRegDeleteValueKey, RealRegDeleteValueKey);

                HOOK_SYSCALL(ZwCreateSection, HookCreateSection, RealCreateSection);       
                HOOK_SYSCALL(ZwTerminateProcess,HookTerminateProcess, RealTerminateProcess);//执行这句代码蓝屏

ahaoahao

PVOID *KeServiceTablePointers;
SERVICE_HOOK_DESCRIPTOR *HookDescriptors;

KeServiceTablePointers = RegmonMapServiceTable(&HookDescriptors);
if(!KeServiceTablePointers)        
{
    return FALSE;
}
HOOK_SYSCALL(ZwFlushKey, HookRegFlushKey, RealRegFlushKey);
HOOK_SYSCALL(ZwDeleteKey, HookRegDeleteKey, RealRegDeleteKey);
HOOK_SYSCALL(ZwSetValueKey, HookRegSetValueKey, RealRegSetValueKey);
HOOK_SYSCALL(ZwCreateKey, HookRegCreateKey, RealRegCreateKey);
HOOK_SYSCALL(ZwDeleteValueKey, HookRegDeleteValueKey, RealRegDeleteValueKey);

HOOK_SYSCALL(ZwCreateSection, HookCreateSection, RealCreateSection);
HOOK_SYSCALL(ZwTerminateProcess,HookTerminateProcess, RealTerminateProcess);//执行这句代码蓝屏

请问这是怎么回事

zhaofei057

应该是你HookTerminateProcess中处理出了问题,而导致蓝屏,而不是hook 什么函数的问题!

fluke56512

和HookTerminateProcess没有关系吧
即使里面什么不做直接返回RealTerminateProcess也会蓝屏

67067710

蓝屏后，用 windbg分析dump（一般在 C:\WINDOWS\Minidump）文件，找到蓝屏原因