[原创]YY-一种高可靠性Hook的思路
看了这个众神出没的帖子：
《那些年搞驱动的那些坑_欢迎补充 》
http://bbs.pediy.com/showthread.php?p=1275930#post1275930
里面提到一种比较纠结的hook情况：
hook时某个线程的EIP正好指向hook位置的中间
最初由 aait发布 查看帖子
你hold住其他 U的时候，总要放开的吧。你一放开，系统里面等待排队的线程有很多个，如果其中某一个线程排队等待恢复的EIP正好是你hook的5个字节的第3个字节怎么办？
这种情况下，EIP恢复后会指向hook的位置的中间，结果是指令被截断后进行解释，很可能会产生异常。
以下是个人针对这种情况的一点思路，不喜勿喷
：1.最简单的方法是避免hook的位置原先存在多条指令。我们可以尝试替换掉一条长度>=5的指令，但是这种方法局限性很大，将会严重限制hook的位置。
2.既然如此，就不能想着尽量避免这种情况了，得正面应对，最直接的解决方案是暂停掉整个系统，检查所有的线程的eip…………太复杂太扯淡。
3.之后又想到另一种方案，这也是本文的重点：
我们能通过MDL保证hook位置可写，但是是否能截获这种情况，并作出处理避免悲剧？
A.最简单的截获方法是在异常处理阶段，但是仔细想想这也是不可行的：如果eip停在hook的位置中间，恢复执行后不一定立刻产生异常，代码说不定还会跑很远，我们无法简单地预测之后的行为，并且在这一过程中很可能已经产生了一些不可逆转的错误。
B.那么接下来的思路就是直接截获了，可以采取类似于调试器下软断点的方法，将hook位置所在代码页设置成其NX位（别的位或许也能实现），然后在异常处理例程中作出处理。
C.既然说道断点，硬断点理论上也能实现B中的思路。
不过要实现更高的可靠性最终做的也不是很简单，得根据hook位置的情况采取相应的处理，比如恢复已经执行的指令影响的寄存器等，这里也只是一个思路，没有代码（至少现在没有）。
欢迎讨论～
