winapi - 用户空间的 Windows Vista/7 内核挂钩

Question

我正在寻找有关在 Vista 和 7 下实现驱动程序的建议，该驱动程序可以挂钩和监视用户进程的任意系统功能。我的目标是简单地转储从 ntdll、kernel32 等调用的系统函数的参数。来自 XP、SSDT 修改和类似技术很流行。在 Vista+ 上有过滤器驱动程序和通知例程。这些中的任何一个都用于挂钩本机功能吗？该驱动程序适用于 32 位和 64 位，并且必须与 Patch Guard 配合使用。欢迎任何建议。

Answer 1

ObCallback类似于 SSDT 挂钩。