c++ - 从内核挂钩调用 NtQuerydirectoryFile 会使内核崩溃

Question

我正在使用最新版本的 EasyHook 来挂钩一些内核功能。我确实在基于 Windows 8.1 64 位的虚拟机上成功设置了重要的调试，并且我测试了在用户模式下连接 NtQuerydirectoryFile 和 NtQuerySystemInformation 以及在内核模式下连接 NtQuerySystemInformation 没有任何问题。

我当前的问题是使用与用户模式挂钩相同的代码来挂钩 NtQuerydirectoryFile，但是当我调用原始函数时它会失败，给我一个访问冲突错误。我将以下代码用于内核模式挂钩：

NTSTATUS NtQueryDirectoryFile_Hook(
    __in HANDLE FileHandle,
    __in_opt HANDLE Event,
    __in_opt PIO_APC_ROUTINE ApcRoutine,
    __in_opt PVOID ApcContext,
    __out PIO_STATUS_BLOCK IoStatusBlock,
    __out_bcount(Length) PVOID FileInformation,
    __in ULONG Length,
    __in FILE_INFORMATION_CLASS FileInformationClass,
    __in BOOLEAN ReturnSingleEntry,
    __in PUNICODE_STRING FileName OPTIONAL,
    __in BOOLEAN RestartScan
    )
{
    NTSTATUS status;
    status = NtQueryDirectoryFile(FileHandle, Event, ApcRoutine, ApcContext, IoStatusBlock, FileInformation, Length, FileInformationClass, ReturnSingleEntry, FileName, RestartScan);
    return status;
}

Answer 1

之前提到过，原来的蹦床跳跃修改了RAX寄存器，所以我换成另外一个蹦床：

50                             push   rax
48 b8 00 00 00 00 00 00 00 00  mov rax, 0x0
48 87 04 24                    xchg   QWORD PTR [rsp],rax
c3                             ret

除了修复依赖于蹦床跳转代码的硬编码大小的功能，因为新版本更大。现在它可以正常工作了。