这个问题大家希望一定要看看--答不答不在乎

大家可能知道，在应用层中，用
WriteProcessMemory(GetCurrentProcess(), ppfn, &pfnNew, sizeof(pfnNew), NULL)
可以将函数ppfn换为自定义函数pfnNew，那么在VxD中有没有WriteProcessMemory这种函数？
比如将kernel32.dll 中的function1 换为我的function2，能不能这样做呢？
应该有很多人都用过或者将来会用到这个问题吧，所以，如果有懂的，就说两句吧。

个人认为WriteProcessMemory好像在NT以上很好用，
但在98下没必要那么做，很多方法可以挂接系统函数

能否说一两种方法呢？
看到有这种方法，但是我觉得直接交换地址是否真的好用。
//保存真正的ZwQueryDirectoryFile函数地址

RealZwQueryDirectoryFile=(REALZWQUERYDIRECTORYFILE)(SYSTEMSERVICE(ZwQueryDirectoryFile));

//把自定义的替换函数指针指向真正的ZwQueryDirectoryFile函数

(REALZWQUERYDIRECTORYFILE)(SYSTEMSERVICE(ZwQueryDirectoryFile))=HookZwQueryDirectoryFile;

5.在DriverUnload（驱动卸载函数）函数中加入恢复代码：

//恢复原来的函数指针

(REALZWQUERYDIRECTORYFILE)(SYSTEMSERVICE(ZwQueryDirectoryFile))=RealZwQueryDirectoryFile;

不是用LoadLibrary和GetProcAddress就可直接将Ring3级事件句柄转换为Ring0级事件句柄吗？
采用这种方法就可直接调用kernel32.dll 中的函数了。也就是实现了转换。

这篇文章介绍了一些楼上朋友说到的方法，还是不会用。而且不是所有的api都能在ring0级用吧
http://www.driverdevelop.com/read.php?t=D&id=24

[编辑 -  6/9/04 by  yetty]

大家可能知道，在应用层中，用
WriteProcessMemory(GetCurrentProcess(), ppfn, &pfnNew, sizeof(pfnNew), NULL)
可以将函数ppfn换为自定义函数pfnNew，那么在VxD中有没有WriteProcessMemory这种函数？
比如将kernel32.dll 中的function1 换为我的function2，能不能这样做呢？
应该有很多人都用过或者将来会用到这个问题吧，所以，如果有懂的，就说两句吧。

回答是肯定的，有
vxd中需要调用dpmi服务。

将函数修改还需要其它技术，比如我都不想再说的16为代码，thunk等等。

因为9x已经过失了，很快就是64位了，还搞什么16为呢？（特殊用途除外）

我也不想搞98的东西啊，但是要做产品，就得考虑周到一些！

什么方面的产品？现在恐怕你连环境都不好搭，95DDK，VC1.5等你有没有？

最还还要windows 95 操作系统来测试，否则也是不彻底的

还不是前一段搞的api钩子，都不想提了，从应用层搞了十几天，搞不出来，就往vxd里搞。vxd我用的工具是vtoolsD 和 vc6.0，还是挺方便的。http://dev.csdn.net/develop/article/2/2058.shtm
不知何时才能解脱！

使用vtools可能不要95ddk和vc1.5。
但使用ddk就需要了，你修改api做什么？
网上很多sample讲这个的，你search一下。

是不是远程控制方面的软件？
如果是建议你参考pcAnywhere。

就是做信息安全方面的，比如防止文件被删除，拷贝等等之类，现在只剩下屏蔽文件的打印动作了，就是hook gdi32.dll中的StartDocA函数，这方面的例子确实太多，但是不知道为什么在98下总也没有成功。现在做到vxd，更棘手了。

就是做信息安全方面的，比如防止文件被删除，拷贝等等之类，现在只剩下屏蔽文件的打印动作了，就是hook gdi32.dll中的StartDocA函数，这方面的例子确实太多，但是不知道为什么在98下总也没有成功。现在做到vxd，更棘手了。

哈哈，这样呀
文件系统已经完成了？
是不是还有网络方面呀？
难到你的防止文件拷贝、删除等都是使用Hook API来的吗？

前俩天我下载了一个网友的，根本不能使用，一使用就非法操作，随后我发了个帖
“烂”，不知你这个如何，性能可以吗？
请原谅我可想再去测试了。

Hook API我在4年前就写过了，好久没有看了现在还真有些陌生。