перехват функций ядра в Vista 64

Тема в разделе "WASM.X64", создана пользователем katrus, 2 июн 2008.

  1. katrus

    katrus New Member

    Публикаций:
    0
    Регистрация:
    7 мар 2007
    Сообщения:
    612
    Скажите, есть ли в Vista 64 легальный (проблем с подписью на драйвере нет) способ перехватывать API функцию как это делается в х32 через SSDT. Судя по всему подобный способ должен быть. Ведь антивирусы как-то отслеживают вызовы API.
     
  2. IceStudent

    IceStudent Active Member

    Публикаций:
    0
    Регистрация:
    2 окт 2003
    Сообщения:
    4.298
    Адрес:
    Ukraine
  3. Ra_

    Ra_ New Member

    Публикаций:
    0
    Регистрация:
    4 мар 2007
    Сообщения:
    289
    del
     
  4. katrus

    katrus New Member

    Публикаций:
    0
    Регистрация:
    7 мар 2007
    Сообщения:
    612
    Похоже, что легально можо поставиьт фильтр только на создсание объекта и его дупликацию.
     
  5. Forever

    Forever Виталий

    Публикаций:
    0
    Регистрация:
    12 апр 2008
    Сообщения:
    244
    Насчет перехвата - ничего не слышал. Но есть несколько официальных методов фильтрования событий. В Vista разрешается даже изменять результат, данные и прочее. Вот список функций :

    CmRegisterCallback / CmRegisterCallbackEx - фильтрация реестра. Позволяет сделать практически все, в том числе и выполнить операцию вместо ОС.
    ObRegisterCallbacks - для фильтрации операций с хендлами процессов и потоков
    FltRegisterFilter - фильтрация обращений к файловой системе
    PsSetCreateProcessNotifyRoutineEx - фильтрация создания и удаления процессов.

    Это основа. Дополнительно могут помочь :
    PsSetCreateThreadNotifyRoutine
    PsSetLoadImageNotifyRoutine

    Вроде как все. Хотя может, что-то и забыл. Про другие методы я не слышал.