请高人dl123100来 ，求解XT下内核钩子的看法（判断方法）

Aar0N

求解XT下内核钩子的看法，即判断方法，我百度了一下，发现这方面的知识都比较稀少，
也希望大牛们能为我们广大ＸｕｅＴｒ爱好者谱写通俗教程
(现在已经有隐藏SSDT hook的驱动了，但是它过不了内核钩子检测 ，更希望学会这种高层次的判断，制止病毒)
一下如图：

dl123100

貌似开启了360的arp防火墙
目前XueTr的kernel hook检测，包括inline hook、eat hook、iat hook。
参考http://bbs.kafan.cn/thread-503793-1-1.html
kernel hook的判断和恢复：
1、 出现KeFlushCurrentTb、RtlPrefetchMemoryNonTemporal、KiSystemCallExitBranch等处的hook长度仅1字节可以忽略，这些是内核为CPU优化进行的自修改。
2、跳转在可信模块内部，对象劫持检测也无问题，可以排除。3、当前模块的hook最终跳转到相同模块，一般可能是XueTr模拟出现问题，这时可能需要用XueTr查看反汇编，比较麻烦。这里有一些例外，如Rustock.B会将hook跳转至内核内部资源节，XueTr虽然能检测，但是并没有特别提示。
4、usbxx、spsys、peauth的hook同样是自修改，不能恢复，恢复会导致蓝屏。
5、调转模块为未知的情况，排除安装微点外，一般有或多或少的灰色行为（另外安装可牛某些版本或者开启某些校验工具的环境下，有时会因资源不足出现此问题）。
6、网上的隐藏SSDT，一般就是指通过hook MSR寄存器、KiFastCallEntry、KiSystemService或者直接替换ethread.ServiceTable、KeServiceDescriptorTable、KeServiceDescriptorTableShadow的指向，然后在自己的函数里分发自定义的服务函数。
对前者，XueTr可以检测到hook，但是具体替换的函数是不可见的。对后者，目前不会检测。
7、还原驱动、反外-挂驱动、鬼影早期等驱动等尽量不要尝试恢复，容易蓝屏。
8、恢复后刷新仍然存在时，需要尝试通过进程->System线程、DPC定时器、内核工作线程、系统回调等处挂起线程，摘除某些回调。对微点通过Ring3反复与Ring0交互方式检查hook，恢复前需要结束微点进程，目前XueTr并没有对微点特殊处理，结束在Vista以下容易出现死锁。

童话小米饭

我坐下来也看一下呵呵！

FreeEquFraT

回复 2楼 dl123100 的帖子

看了了解一下，不过还是觉得太深奥，不明白啊

IllusionWing

回复 2楼 dl123100 的帖子

重定向系统调用表的话是不是要先把所有其他进程挂起？

dl123100

回复 4楼 FreeEquFraT 的帖子

只是换了一种说法 没按以前的说明

dl123100

回复 5楼 IllusionWing 的帖子

不需要 也做不到
真的挂起系统也挂了

多核下的同步 4字节及以下的hook 可以实现原子操作 然后刷新下缓存就行了
5字节及以上 无法保证完全的安全 一般映射Mdl、提升IRQL、投递DPC、YieldExecution等方法混合使用
当然某些大牛提出了像其它核投递IPI、获取任务调度锁、对hook地址下硬件断点之类的方法

tawny2008

实用的xuetr判断使用方法，此帖限时高亮

Aar0N

回复 2楼 dl123100 的帖子

多谢解答

FreeEquFraT

回复 6楼 dl123100 的帖子

谢谢了，不过应该是我水平问题，我这水平确实就是看不懂了