Hook API后调用原函数的问题

amanonline

Hook API后调用原函数的问题 [复制链接]

我Hook了ZwCreateFile以后, 调用原函数时出错, 相关代码如下:

fpZwCreateFile                 OriginalCreateFile = NULL; //重新定义原函数

NTSTATUS
NTAPI
HookCreateFile
(
        OUT PHANDLE FileHandle,
        IN ACCESS_MASK DesiredAccess,
        IN POBJECT_ATTRIBUTES ObjectAttributes,
        OUT PIO_STATUS_BLOCK IoStatusBlock,
        IN PLARGE_INTEGER AllocationSize OPTIONAL,
        IN ULONG FileAttributes,
        IN ULONG ShareAccess,
        IN ULONG CreateDisposition,
        IN ULONG CreateOptions,
        IN PVOID EaBuffer OPTIONAL,
        IN ULONG EaLength
)
{
        NTSTATUS                                Status;
        PCHAR                                FunctionName = "HookCreateFile";

        ASSERT(OriginalNtCreateFile);

        Status = OriginalCreateFile(FileHandle,
                          DesiredAccess,
                          ObjectAttributes,
                          IoStatusBlock,
                          AllocationSize,
                          FileAttributes,
                          ShareAccess,
                          CreateDisposition,
                           CreateOptions,
                          EaBuffer,
                         EaLength);//调用原函数


        if(! NT_SUCCESS(Status))
        {
                DbgPrint("%s: NtCreateFile Failed with status %x\n!", FunctionName, Status);
                return Status;
        }
}

也就是说, 在Hook了ZwCreateFile后, 什么代码都没写, 为什么调用原函数时会failed? 可能会是哪里出问题?

谢谢先!

duguxx

你应该得到对应dll中 的 ZwCreateFile地址，然后调用

zhpuffin

typedef (*AAA)(,,,,,,)
类似这样的

licaiquan77

地址偏移的问题。