请问在vista下可以SSDT HOOK么？比如对ZwCreateProcessEx()函数

Question

看到有人说在vista下SSDT HOOK不行，因为vista的内核保护。不知道是不是这样的，请问有人测试过么？

Answer 1

接楼上，64位的Vista有PatchGuard技术，防止了对内核的直接打补丁……
64位至今还是有些棘手

Answer 2

我知道64位vista下驱动是强制要求有数字签名的，但32位vista还是可以加载驱动的。在网上见到有人说在vista32位下可以ssdt hook ，但我对ZwCreateProcessEx()函数hook总是不成功，主要是想监视vista 32位下的进程创建。vista下创建进程
应该是和xp和2000有比较大的区别，还请大牛们指点

Answer 3

谢谢大家，这个问题已经搞清楚了，在32位vista下是可以ssdt hook的，之前对于ZwCreateProcessEx()的hook总是失败，原因在于vista下创建进程已经不调用这个native api了，而是调用ZwCreateUserProcess()。改为hook ZwCreateUserProcess()之后成功。