一份全系统x86x64通用的镜像回调枚举(LoadImageNotify)

weiliwei

只枚举了前八个回调，要枚举更多就要自己定位PspLoadImageNotifyRoutineCount。其实x64上该变量总在PspLoadImageNotifyRoutine+0x40的位置，x86在+0x20的位置 ）

1. 
   
2. 
   
3. NTSTATUS MyEnumLoadImageNotifyRoutine(VOID)
   
4. {
   
5.         int i;
   
6.         PVOID MagicPtr, NotifyAddr;
   
7. 
   
8.         if (!dynData.PspLoadImageNotifyRoutine)
   
9.         {
   
10.                 DbgPrint("Couldn't found PspLoadImageNotifyRoutine\n");
    
11.                 return STATUS_NOT_FOUND;
    
12.         }
    
13. 
    
14.         //Skip the first callback
    
15. #ifdef AMD64
    
16.         for (i = 0; i < 8; i++)
    
17.         {
    
18.                 MagicPtr = (PVOID)((PUCHAR)dynData.PspLoadImageNotifyRoutine + i * 8);
    
19.                 NotifyAddr = *(PULONG64)(MagicPtr);
    
20.                 if (MmIsAddressValid(NotifyAddr) && NotifyAddr != 0)
    
21.                 {
    
22.                         NotifyAddr = *(PULONG64)(((ULONG64)NotifyAddr & 0xfffffffffffffff0ui64) + sizeof(EX_RUNDOWN_REF));
    
23. 
    
24.                         DbgPrint("LoadImageNotify at %llx", NotifyAddr);
    
25.                 }
    
26.         }
    
27. #else
    
28.         for (i = 0; i < 8; i++)
    
29.         {
    
30.                 //PEX_CALLBACK_ROUTINE_BLOCK Point = (PEX_CALLBACK_ROUTINE_BLOCK)((Ref->Value >> 3) << 3);
    
31.                 MagicPtr = (PVOID)((PUCHAR)dynData.PspLoadImageNotifyRoutine + i * 8);
    
32. 
    
33.                 NotifyAddr = *(PULONG)(MagicPtr);
    
34.                 if (MmIsAddressValid(NotifyAddr) && NotifyAddr != 0)
    
35.                 {
    
36.                         //NotifyAddr = (ULONG)(Point->Function)
    
37.                         NotifyAddr = *(PULONG)(((ULONG)NotifyAddr & 0xfffffff8) + sizeof(EX_RUNDOWN_REF));
    
38. 
    
39.                         DbgPrint("LoadImageNotify at %x", NotifyAddr);
    
40.                 }
    
41.         }
    
42. #endif
    
43.         return STATUS_SUCCESS;
    
44. }
    

复制代码