PP保护2：与调试相关的四个内核函数

看过《软件调试》一书的人都知道这几个内函数的重要性，它们是：NtCreateDebugObject,NtDebugActivePRocess,NtDebugContinue,NtWaitForDebugEvent 这几个函数被PP保护给inline hook,对付的办法是用SSDT对抗，直接跳过函数开头的jmp. 这里有个取巧的办法就是，PP保护inline hook了这四个函数，肯定在它的内存的某个地方，存有这几个函数开头几个字节的代码，直接搜索到它，利用一下。这个地址相对于中断1的偏移是0xbb90: 为什么要取中断1的地址，是因为这个保护的地址是随机的，所以要找一个方便的地址，定位偏移就行了。 我们的代码这样写，就跳过它的HOOK了: