08 2013 档案

驱动层hook系统函数的时，如何屏蔽掉只读属性？
摘要：对于Intel 80486或以上的CPU，CR0的位16是写保护（Write Proctect）标志。当设置该标志时，处理器会禁止超级用户程序（例如特权级0的程序）向只读页面执行写操作；当该位复位时则反之。因此，在写前把设置该位就可以climov eax, cr0and eax, -65537 ... 阅读全文
posted @ 2013-08-17 16:07 vcerror 阅读(415) 评论(0) 推荐(0)
Rootkit之SSDT hook（通过CR0）
摘要：SSDT即System Service Dispath Table，它是一个表，这个表中有内核调用的函数地址。KeServiceDescriptorTable：是由内核（Ntoskrnl.exe）导出的一个表，这个表是访问SSDT的关键，具体结构是typedef struct ServiceDesc... 阅读全文
posted @ 2013-08-17 15:00 vcerror 阅读(283) 评论(0) 推荐(0)
Rootkit之SSDT hook（通过CR0）
摘要：SSDT即System Service Dispath Table，它是一个表，这个表中有内核调用的函数地址。KeServiceDescriptorTable：是由内核（Ntoskrnl.exe）导出的一个表，这个表是访问SSDT的关键，具体结构是typedef struct ServiceDesc... 阅读全文
posted @ 2013-08-17 15:00 vcerror 阅读(253) 评论(0) 推荐(0)
#define SYSTEMSERVICE(_func) KeServiceDescriptorTable.ServiceTableBase[ *(PULONG)((PUCHAR)_func+1) 这
摘要：这个跟KeServiceDescriptorTable的结构有关下面是KeServiceDescriptorTable的结构定义KeServiceDescriptorTabletypedef struct _KSERVICE_TABLE_DESCRIPTOR { PULONG_PTR Base; P... 阅读全文
posted @ 2013-08-17 14:15 vcerror 阅读(170) 评论(0) 推荐(0)
SSDT
摘要：2、系统服务调度表SSDT及SSSDTShadow系统服务：由操作系统提供的一组函数（内核函数），API可以间接或者直接的调用系统服务。操作系统以动态链接库（DLL）的形式提供API。SSDT：系统服务调度表（SystemServiceDispatchTable），该表可以基于系统服务编号进行索引，... 阅读全文
posted @ 2013-08-17 12:31 vcerror 阅读(533) 评论(0) 推荐(0)
简单HOOK SSDT实现文件防删除
摘要：http://www.rosoo.net/a/201001/8347.html 阅读全文
posted @ 2013-08-17 12:08 vcerror 阅读(225) 评论(0) 推荐(0)
简单HOOK SSDT实现文件防删除
摘要：http://www.rosoo.net/a/201001/8347.html 阅读全文
posted @ 2013-08-17 12:08 vcerror 阅读(155) 评论(0) 推荐(0)
使用Windbg调试内核
摘要：Windbg是微软开发的免费源码级调试工具。Windbg可以用于Kernel模式调试和用户模式调试，还可以调试Dump文件。1.从http://www.microsoft.com/whdc/devtools/debugging/installx86.mspx下载Install Debugging T... 阅读全文
posted @ 2013-08-17 11:45 vcerror 阅读(289) 评论(0) 推荐(0)
使用Windbg调试内核
摘要：Windbg是微软开发的免费源码级调试工具。Windbg可以用于Kernel模式调试和用户模式调试，还可以调试Dump文件。1.从http://www.microsoft.com/whdc/devtools/debugging/installx86.mspx下载Install Debugging T... 阅读全文
posted @ 2013-08-17 11:45 vcerror 阅读(172) 评论(0) 推荐(0)
Zw函数与Nt函数的分别与联系
摘要：in ring3：lkd> ? ntdll!ZwOpenProcessEvaluate expression: 2089999739 = 7c92dd7blkd> ?ntdll!NtOpenProcessEvaluate expression: 2089999739 = 7c92dd7b可以看到，在... 阅读全文
posted @ 2013-08-17 11:36 vcerror 阅读(858) 评论(0) 推荐(0)
SSDT
摘要：SSDT就是一张存于系统内核中的一张表。这个表的作用就是指向一些函数的地址。比如我们调用OPENPROCESS，最终会调用SSDT表中的122号服务。哈～～ 阅读全文
posted @ 2013-08-17 10:59 vcerror 阅读(211) 评论(0) 推荐(0)
SSDT
摘要：SSDT就是一张存于系统内核中的一张表。这个表的作用就是指向一些函数的地址。比如我们调用OPENPROCESS，最终会调用SSDT表中的122号服务。哈～～ 阅读全文
posted @ 2013-08-17 10:59 vcerror 阅读(174) 评论(0) 推荐(0)
Rootkit之SSDT hook（通过CR0）
摘要：CR0当中有一个写保护位，是保护内存不可写属性的，为了能够写入内核，只能把它的保护给咔嚓掉了，不过……如果做完了手脚但不还原写保护属性的话，极有可能会BOSD./=====================================================================... 阅读全文
posted @ 2013-08-17 10:25 vcerror 阅读(230) 评论(0) 推荐(0)
直接用编译器按ctrl+F5运行和双击运行结果不一样
摘要：是因为进程权限的问题，需要添加下面的代码：BOOL EnableDebugPrivilege(){HANDLE hToken;BOOL fOk=FALSE;if(OpenProcessToken(GetCurrentProcess(),TOKEN_ADJUST_PRIVILEGES,&hToken)... 阅读全文
posted @ 2013-08-05 16:33 vcerror 阅读(154) 评论(0) 推荐(0)
直接用编译器按ctrl+F5运行和双击运行结果不一样
摘要：是因为进程权限的问题，需要添加下面的代码：BOOL EnableDebugPrivilege(){HANDLE hToken;BOOL fOk=FALSE;if(OpenProcessToken(GetCurrentProcess(),TOKEN_ADJUST_PRIVILEGES,&hToken)... 阅读全文
posted @ 2013-08-05 16:33 vcerror 阅读(294) 评论(0) 推荐(0)
驱动编译的时候注意编译工程选项
摘要：右键要编译的驱动工程会看到该工程配置的有哪些工程类别，比如WXP checkedWNET checked,在编译的时候要选对 阅读全文
posted @ 2013-08-01 11:40 vcerror 阅读(157) 评论(0) 推荐(0)
驱动编译的时候注意编译工程选项
摘要：右键要编译的驱动工程会看到该工程配置的有哪些工程类别，比如WXP checkedWNET checked,在编译的时候要选对 阅读全文
posted @ 2013-08-01 11:40 vcerror 阅读(159) 评论(0) 推荐(0)
'ddkbuild.cmd' 不是内部或外部命令，也不是可运行的程序
摘要：转自VC错误:http://www.vcerror.com/?p=49问题描述：错误：'ddkbuild.cmd' 不是内部或外部命令，也不是可运行的程序解决方法：详细的解决方法可参考VC错误：http://www.vcerror.com/?p=49 阅读全文
posted @ 2013-08-01 11:16 vcerror 阅读(185) 评论(0) 推荐(0)
'ddkbuild.cmd' 不是内部或外部命令，也不是可运行的程序
摘要：转自VC错误:http://www.vcerror.com/?p=49问题描述：错误：'ddkbuild.cmd' 不是内部或外部命令，也不是可运行的程序解决方法：详细的解决方法可参考VC错误：http://www.vcerror.com/?p=49 阅读全文
posted @ 2013-08-01 11:16 vcerror 阅读(631) 评论(0) 推荐(0)