Всем привет! Скажите плз... В системе есть драйвер, который хукает функции NtOpenProcess, NtOpenThread. Как почитал, определить подставную функцию можно просканировав таблицу в ntoskrnl.exe адресов функций и если они не попадают в диапазон, по которому загружен ntoskrnl.exe, то нашли. Возможно ли снять хук в SSDT с помощью другого драйвера имея адреса подставных функций?
Почитаю обязательно. Хочется из ядра сделать. А можно просто заменить адрес подставной функции на адрес, который можно получить просмотрев таблицу экспорта модуля ntoskrnl.exe ?
