Крючок NtReadFile. Изменить текст

Question

Я хочу подключить NtReadFile, чтобы он мог изменять текст, который считывается из файла. Но когда я пытаюсь прочитать файл, я получаю сообщение «Это приложение не запускалось, потому что неправильная конфигурация приложения».

Вот мой код. Что не так?

NTSTATUS HookNtReadFile (
    IN HANDLE FileHandle, 
    IN HANDLE Event, 
    IN PIO_APC_ROUTINE ApcRoutine, 
    IN PVOID ApcContext, 
    OUT PIO_STATUS_BLOCK IoStatusBlock, 
    OUT PVOID Buffer, 
    IN ULONG Length, 
    IN PLARGE_INTEGER ByteOffset, 
    IN PULONG Key) 
{ 
    NTSTATUS retstatus; 

    retstatus = glRealNtReadFile (FileHandle, Event, ApcRoutine, ApcContext, IoStatusBlock, Buffer, Length, ByteOffset, Key); 

    IoStatusBlock->Information = 3; 
    Length = 3; 
    Buffer = ExAllocatePool(PagedPool, Length); 
    Buffer = "hi"; 

    return retstatus; 
} 

Answer 1

Это явно не будет работать:

Buffer = ExAllocatePool(PagedPool, Length); 
Buffer = "hi"; 

Вы выделения памяти, а затем сразу же отбросить этот адрес. Это не то, как вы копируете строки в C. Вам нужно использовать strcpy, или предпочтительно одну из более безопасных альтернатив.

Следует также отметить, что Native API не использует символы ASCII. Как правило, все строки должны быть широкими.

Наконец, вы должны изменять значения только в том случае, если код возврата указывает на успех, и (как указывали другие в комментариях), когда дескриптор файла связан с конкретным файлом, который вы пытаетесь изменить.

Answer 2

http://www.rohitab.com/discuss/topic/40492-my-first-kernel-mode-rootkit/

Я знаю, что это похоже на хитроумный ссылки. Но ответ, который вы ищете, можно найти одним щелчком мыши.