c++ - 系统范围的应用程序 Hook

Question

我必须开发一个程序，它可以 Hook kernel32.dll、Advapi32.dll 中的一些函数例如，我必须更改某些功能的功能，例如注册打开 key ()。由于事实，我无法向目标进程注入(inject)任何代码，因为，当目标程序启动时，首先，它调用该函数我也被迫不向目标进程注入(inject)任何代码。此外，我必须为每个当前运行的进程和应用程序(32 位、控制台应用程序、Win 应用程序)更改此功能，这些将在未来运行。我已经阅读了很多关于 DLL 注入(inject)、DLL Hook 的文章，但我不知道如何克服它。所以请帮助我并与我分享你的知识。

Answer 1

在不注入(inject)代码的情况下进行拦截的唯一选择是内核模式驱动程序。注册表驱动程序很容易从 Vista+ 实现，但您需要进行一些 SSDT 注册表 Hook 。 SSDT 不适用于 XP 和 Vista/W7 中的相同代码，并且在 x64 环境中根本不起作用(不允许 Hook 技术)。所以你必须制作一个内核模式过滤器驱动程序 Hook 注册表 SSDT 用于 XP 和 CmRegisterCallback 用于 Vista 和 W7 ( more info )。