3 《Undocumented Windows 2000 Secrets》翻译 --- 第五章( 四 ) _云知道

{
LARGE_INTEGER liTime;
PSPY_PROTOCOL psp = &gpDeviceContext->SpyProtocol;
KeQuerySystemTime (&liTime);
SpyHookWait ();
if (SpyWriteFilter (psp, psc->pshe->pbFormat,
psc->adParameters,
psc->dParameters))
{
SpyWriteNumber (psp, 0,(psp->sh.dCalls)); // <#>:
SpyWriteChar (psp, 0, ":");
// =
SpyWriteFormat (psp, psc->pshe->pbFormat, //
psc->adParameters); // ()
SpyWriteLarge (psp, 0, &liTime); // ,
SpyWriteChar (psp, 0, ",");
SpyWriteNumber (psp, 0, (DWord) psc->hThread); // ,
SpyWriteChar (psp, 0, ",");
SpyWriteNumber (psp, 0, psp->sh.dHandles); //
SpyWriteChar (psp, 0, "n");
}
SpyHookRelease ();
return;
}
列表 5-7. 主要的 Hook 协议函数 SpyHookProtocol()
如果你比较一下列表 5-7 给出的 SpyHookProtocol() 函数的主要部分和示列 5-2 给出的协议项的一般格式，将很容易找出那个语句生成了协议项中的哪一个域（ fIEld ）。这样一来一切就很清楚了为什么列表 5-6 中的协议字符串没有说明整个数据项 --- 有些独立于功能的数据将由 SpyHookProtocol() 添加，而这将不需要格式字符串的帮助。SpyHookProtocl() 的核心调用是 SpyWriteFormat() ，该函数生成 =[] 部分，这依赖于与要记录的当前 API 函数相关的格式字符串。请参考位于随书光盘的 srcw2k_spy 目录下的源文件 w2k_spy.c 和 w2k_spy.h ，以获取 Spy 设备驱动程序中使用的 SpyWrite*() 函数的更多实现信息。
请注意，这些代码稍微有些危险。这些代码编写与 1997 年是针对 Windows NT 4.0 的。在移植到 Windows 2000 之后，当 hook 工作一段较长时间后会偶尔引发蓝屏。更糟糕的是，有些特殊的操作将立即引发蓝屏，例如，在 My Favoriter 文本编辑器的 FileOpen 对话框中打开我的电脑时。在分析过多过 crash dump 后，我发现是由于将 NULL 指针传递给了某些函数从而导致了系统崩溃。一但 Spy 设备试图使用这些指针中的某个来记录该指针引用的数据时，系统就会崩溃。典型的就是，指向 IO_STATUS_BLOCK 结构的指针，在 UNICODE_STRING 和 OBJECT_ATTRIBUTES 结构中存在无效的字符串指针。我还发现某些有 Buffer 成员的 UNICODE_STRING 结构没有结束符。因此，我再次强调你不应该假定所有的 UNICODE_STRING 结构都以结束。在不能确定时，请使用 Length 成员，它总能正确地告诉你在 Buffer 中存放的有效的字节数。
【3 《Undocumented Windows 2000 Secrets》翻译 --- 第五章】为了修正这一问题，我为所有使用客户指针的日志函数增加了指针有效性检查。在结束时，我使用第四章讨论过的 SpyMemoryTestAddress() 函数来检验一个线性地址指针是否指向一个有效的页表项（ PTE ）。更详细的信息请参考列表 4-22 和列表 4-24。另一种可能的替代方案是使用结构化异常（ __try/__except ）。

3 《Undocumented Windows 2000 Secrets》翻译 --- 第五章( 四 )

推荐阅读

泛函分析有什么用泛函分析有什么用处

桃花的诗句千古名句桃之夭夭桃花的诗句千古名句

园长资格证和园长证的区别

创造营2020王艺瑾喜欢你的原唱是谁，这首歌实在是太适合她了

我想知道氮封装置的原理谢谢

手抄报模版

减肥最快的方法七种方法推荐

岁月何曾饶过谁下一句

请问初中毕业生没学籍怎么办

装修房子的步骤流程和注意事项有哪些

十四届全运会有多少个代表团

安卓系统的王者荣耀可以转苹果吗

g1304高铁时刻表途经，包头到通辽T304火车途中多少站

南京师范大学法学院，南京师范大学法学院在哪个校区

工业亚硝酸钠价格，亚硝酸钠市场价格

几何美甲图片