首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
您找到你想要的搜索结果了吗?
是的
没有找到

原创Paper | ObRegisterCallbacks 的装载和卸载

OB_FLT_REGISTRATION_VERSION; ObRegistration.OperationRegistrationCount = 1; ObRegistration.Altitude...其 v16 参数则表示一个 CALLBACK_ENTRY_ITEM,其传入 ObpInsertCallbackByAltitude 函数,该函数根据 Altitude 的值排序并将回调函数插入到 OBJECT_TYPE...,首先使用上文的 ProcessProtect 对 cmd.exe 进行进程保护,随后再使用 UnloadObCB 卸载回调,在任务管理器中发现可以正常关闭 cmd.exe 进程,执行如下: 其中 Altitude...,即可覆盖之前的回调函数的操作;但由于 Post- 链上的 GrantedAccess 可读不可写,所以我们在 Pre- 回调函数链的末尾(这里我们设置为 Altitude=999)进行操作,编写代码如下...= Altitude; ObRegistration.RegistrationContext = NULL; ObRegistration.OperationRegistration

29310
领券