本文共 2785 字，大约阅读时间需要 9 分钟。

这种hook方式和ssdt HOOK有本质区别，不要搞混。

typedef NTSTATUS (*REALZWQUERYDIRECTORYFILE)(IN HANDLE hFile,IN HANDLE hEvent OPTIONAL,IN PIO_APC_ROUTINE IoApcRoutine OPTIONAL,IN PVOID IoApcContext OPTIONAL,OUT PIO_STATUS_BLOCK pIoStatusBlock,OUT PVOID FileInformationBuffer,IN ULONG FileInformationBufferLength,IN FILE_INFORMATION_CLASS FileInfoClass,IN BOOLEAN bReturnOnlyOneEntry,IN PUNICODE_STRING PathMask OPTIONAL,IN BOOLEAN bRestartQuery);//定义一个原函数指针REALZWQUERYSYSTEMINFORMATION RealZwQuerySystemInformation;void DriverUnload(PDRIVER_OBJECT pDriveObj){
   	DbgPrint("driver unloaded ...\n");}NTSTATUS DriverEntry(PDRIVER_OBJECT driver,PUNICODE_STRING reg){
   	UNREFERENCED_PARAMETER(reg); //不用将编译警告等级设为3，不使用 就Unreferenced即可		PMDL mdl;	PVOID addrMm;	ULONG addrKdEnterDebugger;	ULONG addrKdEnteredDebugger;	UNICODE_STRING func;	ULONG addr = 0;	RtlInitUnicodeString(&func, L"ZwQueryDirectoryFile");	RealZwQueryDirectoryFile = (REALZWQUERYDIRECTORYFILE)MmGetSystemRoutineAddress(&func);	DbgPrint("RealZwQueryDirectoryFile的地址：%x\n", (ULONG)RealZwQueryDirectoryFile);	driver->DriverUnload = DriverUnload;	/*IoAllocateMdl的作用是分配一个MDL结构，也就是将系统的一段内存空间映射到另外一个地方，然后修改这部分内存的保护属性，并修改其内容，以达到修改受保护内存的目的。第一参数为MDL内存的起始地址，第二个参数为MDL的长度。	由于IoAllocateMdl创建的MDL都是指向非分页的虚拟内存的buffer中的，所以需要MmBuildMdlForNonPagedPool函数来在物理内存上更新这个MDL。*/		//1、IoAllocateMdl创建一个mdl	mdl=IoAllocateMdl((PVOID)RealZwQueryDirectoryFile, 5, FALSE, FALSE, NULL);	//2、调用MmBuildMdlForNonPagedPool更新创建在非分页内存上的MDL	//通过MmBuildMdlForNonPagedPool后，也可以使用 MmGetSystemAddressForMdl 宏获得系统空间地址。	MmBuildMdlForNonPagedPool(mdl);	DbgPrint("mdl->StartVa：%x,mdl->ByteCount：%d,mdl->MappedSystemVa:%x,mdl->ByteOffset:%d\n", mdl->StartVa, mdl->ByteCount,mdl->MappedSystemVa,mdl->ByteOffset);	//3、调用MmProbeAndLockPages将内存页锁定，防止内容被修改,要在try，exception结构里面执行	__try{
   	MmProbeAndLockPages(mdl, KernelMode, IoWriteAccess);//锁定内存	}//IoWriteAccess指定为写权限	__except (EXCEPTION_EXECUTE_HANDLER)	{
   	DbgPrint("MmProbeAndLockPages exception\n");	}	//4、调用MmMapLockedPagesSpecifyCache函数生成用户模式下对应的虚拟地址，然后就能修改这个地址的内容来达到修改内核内容的目的	addrMm = MmMapLockedPagesSpecifyCache(mdl, KernelMode, MmCached, 0, FALSE, NormalPagePriority);//创建一个内核模式下的虚拟内存对应ZwQueryDirectoryFile函数	DbgPrint("addrMm=%x\n", addrMm);	addrMm = MmMapLockedPagesSpecifyCache(mdl, UserMode, MmCached, 0, FALSE, NormalPagePriority);//创建一个用户模式下的虚拟内存对应ZwQueryDirectoryFile函数	DbgPrint("addrMm=%x\n", addrMm);	*((ULONG *)addrMm) = 0x90;//修改用户模式下的虚拟地址的值到修改内核模式下的//ZwQueryDirectoryFile函数前5个字节的目的	*((ULONG *)((ULONG)addrMm + 1)) = 0x90909090;		DbgPrint("RealZwQueryDirectoryFile=%x\n", *((ULONG *)RealZwQueryDirectoryFile));//打印修改以	//后的内核ZwQueryDirectoryFile函数的前5个字节的内容	// 5、调用MmUnmapLockedPages解除映射	MmUnmapLockedPages(addrMm, mdl);	// 6、MmFreePagesFromMdl释放MDL锁定的物理页	MmFreePagesFromMdl(mdl);	//7、调用IoFreeMdl 释放MDL	IoFreeMdl(mdl);}

转载地址：http://etlsi.baihongyu.com/