2013年7月30日
NtOpenProcess被HOOK,跳回原函数地址后仍然无法看到进程
摘要： 点击打开链接http://www.ghoffice.com/bbs/read-htm-tid-103923.html 阅读全文
posted @ 2013-07-30 17:57 vcerror 阅读(226) 评论(0) 推荐(0)
NtOpenProcess被HOOK,跳回原函数地址后仍然无法看到进程
摘要： 点击打开链接http://www.ghoffice.com/bbs/read-htm-tid-103923.html 阅读全文
posted @ 2013-07-30 17:57 vcerror 阅读(160) 评论(0) 推荐(0)
城里城外看SSDT
摘要： 引子2006年，中国互联网上的斗争硝烟弥漫。这时的战场上，先前颇为流行的窗口挂钩、API挂钩、进程注入等技术已然成为昨日黄花，大有逐渐淡出之势；取而代之的，则是更狠毒、更为赤裸裸的词汇：驱动、隐藏进程、Rootkit……前不久，我不经意翻出自己2005年9月写下的一篇文章《DLL的远程注入技术》，在... 阅读全文
posted @ 2013-07-30 17:17 vcerror 阅读(143) 评论(0) 推荐(0)
城里城外看SSDT
摘要： 引子2006年，中国互联网上的斗争硝烟弥漫。这时的战场上，先前颇为流行的窗口挂钩、API挂钩、进程注入等技术已然成为昨日黄花，大有逐渐淡出之势；取而代之的，则是更狠毒、更为赤裸裸的词汇：驱动、隐藏进程、Rootkit……前不久，我不经意翻出自己2005年9月写下的一篇文章《DLL的远程注入技术》，在... 阅读全文
posted @ 2013-07-30 17:17 vcerror 阅读(247) 评论(0) 推荐(0)
监视系统中进程的创建和终止
摘要： 原理很简单，主要功能通过一个内核驱动中使用PsSetCreateProcessNotifyRoutine 函数来实现。效果也不错首先新建一个驱动程序工程，在DriverEntry例程中调用PsSetCreateProcessNotifyRoutine函数向系统添加一个回调函数，并创建一个系统事件对象... 阅读全文
posted @ 2013-07-30 16:54 vcerror 阅读(490) 评论(0) 推荐(0)
监视系统中进程的创建和终止
摘要： 原理很简单，主要功能通过一个内核驱动中使用PsSetCreateProcessNotifyRoutine 函数来实现。效果也不错首先新建一个驱动程序工程，在DriverEntry例程中调用PsSetCreateProcessNotifyRoutine函数向系统添加一个回调函数，并创建一个系统事件对象... 阅读全文
posted @ 2013-07-30 16:54 vcerror 阅读(221) 评论(0) 推荐(0)
APIHOOK
摘要： #include#include#include#pragmacomment(lib,"Dbghelp.lib")#pragmacomment(lib,"User32.lib")typedefint(__stdcall*OLD_MessageBox)(HWNDhWnd,LPCTSTRlpText,L... 阅读全文
posted @ 2013-07-30 16:50 vcerror 阅读(175) 评论(0) 推荐(0)
APIHOOK
摘要： #include#include#include#pragmacomment(lib,"Dbghelp.lib")#pragmacomment(lib,"User32.lib")typedefint(__stdcall*OLD_MessageBox)(HWNDhWnd,LPCTSTRlpText,L... 阅读全文
posted @ 2013-07-30 16:50 vcerror 阅读(187) 评论(0) 推荐(0)