在前面的文章`《驱动开发：内核解析PE结构导出表》`中我们封装了两个函数`KernelMapFile()`函数可用来读取内核文件，`GetAddressFromFunction()`函数可用来在导出表中寻找指定函数的导出地址，本章将以此为基础实现对特定`SSDT`函数的`Hook`挂钩操作，与`《驱动开发：内核层InlineHook挂钩函数》`所使用的挂钩技术基本一致，不同点是前者使用了`CR3`
MiniFilter 微过滤驱动是相对于`SFilter`传统过滤驱动而言的，传统文件过滤驱动相对来说较为复杂，且接口不清晰并不符合快速开发的需求，为了解决复杂的开发问题，微过滤驱动就此诞生，微过滤驱动在编写时更简单，多数`IRP`操作都由过滤管理器`(FilterManager或Fltmgr)`所接管，因为有了兼容层，所以在开发中不需要考虑底层`IRP`如何派发，更无需要考虑兼容性问题，用户只需
在之前的文章中`LyShark`一直都在教大家如何让驱动程序与应用层进行`正向通信`，而在某些时候我们不仅仅只需要正向通信，也需要反向通信，例如杀毒软件如果驱动程序拦截到恶意操作则必须将这个请求动态的转发到应用层以此来通知用户，而这种通信方式的实现有多种，通常可以使用创建Socket套接字的方式实现，亦或者使用本章所介绍的通过`事件同步`的方法实现反向通信。
注册表是Windows中的一个重要的数据库，用于存储系统和应用程序的设置信息，注册表是一个巨大的树形结构，无论在应用层还是内核层操作注册表都有独立的API函数可以使用，而在内核中读写注册表则需要使用内核装用API函数，如下将依次介绍并封装一些案例，实现对注册表的创建，删除，更新，查询等操作。
在笔者上一篇文章中简单的介绍了如何运用汇编语言编写一段弹窗代码，虽然简易`ShellCode`可以被正常执行，但却存在很多问题，由于采用了硬编址的方式来调用相应API函数的，那么就会存在一个很大的缺陷，如果操作系统的版本不统或系统重启过，那么基址将会发生变化，此时如果再次调用基址参数则会调用失败，本章将解决这个棘手的问题，通过`ShellCode`动态定位的方式解决这个缺陷，并以此设计出真正符合规
在第一章中我们介绍了`x64dbg`这款强大的调试软件，通过该软件逆向工程师们可以手动完成对特定进程的漏洞挖掘及脱壳等操作，虽然`x64dbg`支持内置`Script`脚本执行模块，但脚本引擎通常来说是不够强大的，LyScript 插件的出现填补了这方面的不足，该插件的开发灵感来源于`Immunity`调试器中的`ImmLib`库，因`Immunity`调试器继承自`Ollydbg`导致该调试器无
2Captcha是一个自动验证码识别服务，主要用于解决各种互联网服务中的验证码问题。在许多网站注册账户或进行敏感操作时，为了验证用户是真实的而不是自动化程序，会出现验证码。用户必须正确输入验证码，才能继续使用网站的功能。该框架的目标是帮助客户自动化解决验证码问题。客户可以通过付费将需要解决的验证码发送给2Captcha，然后由2Captcha将这些验证码分发给专业的打码员进行输入。这些打码员是人工
顺序栈是一种基于数组实现的栈结构，它的数据元素存储在一段连续的内存空间中。在顺序栈中，栈顶元素的下标是固定的，而栈底元素的下标则随着入栈和出栈操作的进行而变化。通常，我们把栈底位置设置在数组空间的起始处，这样在进行入栈和出栈操作时，只需要维护栈顶指针即可。顺序栈的实现比较简单，它只需要一个数组和一个整型变量`top`即可。其中，数组用于存储栈中的元素，top则用于记录当前栈顶元素在数组中的位置。当
双向队列容器（Deque）是C++ STL中的一种数据结构，是一种双端队列，允许在容器的两端进行快速插入和删除操作，可以看作是一种动态数组的扩展，支持随机访问，同时提供了高效的在队列头尾插入和删除元素的操作。Deque 双向队列容器与Vector非常相似，它不但可以在数组尾部插入和删除元素，还可以在头部进行插入和删除，队列算法的时间复杂度也是`常数阶O(1)`，队列内部的数据机制和性能与Vecto
C++ STL 中的非变易算法（Non-modifying Algorithms）是指那些不会修改容器内容的算法，是C++提供的一组模板函数，该系列函数不会修改原序列中的数据，而是对数据进行处理、查找、计算等操作，并通过迭代器实现了对序列元素的遍历与访问。由于迭代器与算法是解耦的，因此非变易算法可以广泛地应用于各种容器上，提供了极高的通用性和灵活性。
C++ STL中的变易算法（Modifying Algorithms）是指那些能够修改容器内容的算法，主要用于修改容器中的数据，例如插入、删除、替换等操作。这些算法同样定义在头文件 algorithm中，它们允许在容器之间进行元素的复制、拷贝、移动等操作，从而可以方便地对容器进行修改和重组。
LibCurl是一个开源的免费的多协议数据传输开源库，该框架具备跨平台性，开源免费，并提供了包括`HTTP`、`FTP`、`SMTP`、`POP3`等协议的功能，使用`libcurl`可以方便地进行网络数据传输操作，如发送`HTTP`请求、下载文件、发送电子邮件等。它被广泛应用于各种网络应用开发中，特别是涉及到数据传输的场景。
循环语句（While）一种基本控制结构，它允许程序在条件为真的情况下重复执行一段代码块，直到条件为假为止。循环语句在处理需要重复执行的任务时非常有用，它可以让程序更加高效地处理大量数据或者重复性操作。一般来说，While循环由一个条件表达式、一个代码块组成。在每次循环迭代开始时，程序会首先检查条件表达式的值，如果为真，则执行代码块，然后再次检查条件表达式的值。只要条件表达式为真，循环就会一直继续执
循环语句（for）是计算机编程中的一种基本控制结构，它允许程序按照指定的次数或范围重复执行一段代码块。for循环在处理需要进行迭代操作的情况下非常有用，它使得程序可以更加方便地控制循环的次数。一般来说，for循环由三个部分组成：初始化部分、条件表达式和更新部分，以及一个需要重复执行的代码块。在每次循环迭代开始时，程序首先执行初始化部分，然后检查条件表达式的值，如果为真，则执行代码块，并在每次循环结
节表（Section Table）是Windows PE/COFF格式的可执行文件中一个非常重要的数据结构，它记录了各个代码段、数据段、资源段、重定向表等在文件中的位置和大小信息，是操作系统加载文件时根据节表来进行各个段的映射和初始化的重要依据。节表中的每个记录则被称为`IMAGE_SECTION_HEADER`，它记录了一个段的各种属性信息和在文件中的位置和大小等信息，一个文件可以由多个`IMA
SetWindowHookEx 是`Windows`系统的一个函数，可用于让一个应用程序安装全局钩子，但读者需要格外注意该方法安装的钩子会由操作系统注入到所有可执行进程内，虽然该注入方式可以用于绕过游戏保护实现注入，但由于其属于全局注入所以所有的进程都会受到影响，而如果想要解决这个问题，则需要在`DllMain()`也就是动态链接库开头位置进行判断，如果是我们所需操作的进程则执行该DLL模块内的功
EAT（Export Address Table）用于修改动态链接库（DLL）中导出函数的调用。与`IAT Hook`不同，EAT Hook是在DLL自身中进行钩子操作，而不是修改应用程序的导入表。它的原理是通过修改DLL的导出函数地址，将原本要导出的函数指向另一个自定义的函数。这样，在应用程序调用DLL的导出函数时，实际上会执行自定义的函数。与IAT不同是EAT存放的不是函数地址，而是导出函数地
MinHook是一个轻量级的Hooking库，可以在运行时劫持函数调用。它支持钩子API函数和普通函数，并且可以运行在32位和64位Windows操作系统上。其特点包括易于使用、高性能和低内存占用。MinHook使用纯汇编语言实现，在安装和卸载钩子时只需要短暂地锁定目标线程，因此对目标线程的影响非常小。
挂起与恢复进程是指暂停或恢复进程的工作状态，以达到一定的控制和管理效果。在 Windows 操作系统中，可以使用系统提供的函数实现进程的挂起和恢复，以达到对进程的控制和调度。需要注意，过度使用进程挂起/恢复操作可能会造成系统性能的降低，导致死锁等问题，因此在使用时应该谨慎而慎重。同时，通过和其他进程之间协同工作，也可以通过更加灵活的方式，实现进程的协调、交互等相应的功能，从而实现更加高效和可靠的进
