用户空间的Windows Vista/7内核挂钩

Question

我正在寻找关于在Vista和7下实现驱动程序的建议，该驱动程序可以挂钩和监视用户域进程的任意系统函数。我的目标是简单地转储从ntdll、kernel32等调用的系统函数的参数。在Vista+上有过滤器驱动程序和通知例程。这两个都是用来钩住本机函数的吗？该驱动程序适用于32位和64位，必须与Patch Guard配合得很好。欢迎任何建议。

Answer 1

ObCallback类似于SSDT挂钩。