https://github.com/kouzhudong产品系统

Enum and Remove Hook in Windows Kernel

考虑添加的功能：

工作线程. 尽管生命周期很短。
反编译引擎（类C伪码），如：retdec。
硬件虚拟化相关的。
系统热键 和 消息钩子。
本地内核调试。
ApiSet 应用层枚举 驱动修改（有PG(PatchGuard)/KPP(Kernel Patch Protection)/HyperGuard(Secure Kernel Patch Guard, SKPG)保护）
PsRegisterPicoProvider
PcwRegister PcwUnregister
NmrpRegisterModule == NmrRegisterClient + NmrRegisterProvider + WskRegister。
ExRegisterHost + ExRegisterExtension + ExUnregisterExtension
Boot Graphics Resource Table (BGRT)
Firmware Performance Data Table (FPDT)
Unified Extensible Firmware Interface (UEFI)
Root System Description Table (RSDT)
Fixed ACPI Description Table (FADT)
Multiple APIC Description Table (MADT)
Generic Timer Description Table (GTDT)
Core System Resources Table (CSRT)
Debug Port Table 2 (DBG2)
Differentiated System Description Table (DSDT)

num and Remove Hook in Windows Kernel

设计目标：

别的ARK工具没有的，或者很少有的，或者不开源的。
自己喜欢的，常用的，避免自己繁琐的windbg操作。
procexp.exe和processhacker及SystemInformer.exe有的，一般不添加。
应用层能实现的一般不添加。
不支持32位。
支持CUI和GUI程序，但是CUI比GUI的功能强，考虑把CUI和GUI合二为一个程序。
多使用符号文件，尽量减少硬编码。
支持Windows 7 SP1(Windows Server 2008 R2)及以后的系统。
后期考虑支持ARM64。
本程序没有自保护，如：进程保护，服务保护，文件保护，驱动保护，反调试等。
本程序没有加VMP壳，没有混淆/反反编译，甚至给debug版本。

已经实现的功能：

枚举和移除进程回调。
PsSetCreateProcessNotifyRoutine + PsSetCreateProcessNotifyRoutineEx + PsSetCreateProcessNotifyRoutineEx2
枚举和移除线程回调。
PsSetCreateThreadNotifyRoutine + PsSetCreateThreadNotifyRoutineEx + PsRemoveCreateThreadNotifyRoutine
枚举和移除IMAGE回调。
PsSetLoadImageNotifyRoutine + PsSetLoadImageNotifyRoutineEx + PsRemoveLoadImageNotifyRoutine
枚举和移除注册表回调。
CmRegisterCallback + CmRegisterCallbackEx + CmUnRegisterCallback
枚举和移除对象（进程，线程，桌面）回调。
ObRegisterCallbacks + ObUnRegisterCallbacks
枚举和移除MiniFilter。
包含Operations（PreOperation + PostOperation）
包含Contexts（ContextCleanupCallback + ContextType）
包含CommunicationPort（仅仅ServerPort）的信息，如：ConnectNotify + DisconnectNotify + MessageNotify。
FltRegisterFilter + FltUnregisterFilter（有待测试, 可能会卡）
枚举和反注册WFP的Callout。
FwpsCalloutRegister + FwpsCalloutUnregister