随笔分类 -  驱动

摘要：在InlineHook中修改了zwOpenProcess函数的中的指令与Resume HookSSDT同理 找出一个正确的值覆盖上去就行、突发奇想 有没有可能上去一个驱动或者程序 直接卸载掉InlineHook 岂不是很爽直接映射WCHAR wzFileFullPath[] = L"\\Syste... 阅读全文

摘要：//当Ring3调用OpenProcess//1从自己的模块(.exe)的导入表中取值//2Ntdll.dll模块的导出表中执行ZwOpenProcess(取索引 进入Ring0层)//3进入Ring0 从Ntoskernel.exe模块的导出表中执行ZwOpenProcess(取索引 获得SSDT... 阅读全文

摘要：HOOKSSDT中加入了DPC之后 要取消DPC首先找到DPCHookSSDT.sys的基地址和大小通过枚举所有DPC的地址 将在范围之内的DPC定时器全部移除枚举DPC：WinXP：1.首先要得到KiTimerTableListHead在WinXP中只需要通过查找8d就可以定位到KiTimerTa... 阅读全文

摘要：在HookSSDT中 通过在第4部通过索引将NtOpenProcess 换成 Base[索引] = FakeNtOpenProcess;so 在阻止时应该在ntoskrnl.exe找到真正的OpenProcess的地址 然后替换上去 阅读全文

只有注册用户登录后才能阅读该文。

只有注册用户登录后才能阅读该文。

该文被密码保护。

摘要：1 // 启动程序.cpp : 定义控制台应用程序的入口点。 2 // 3 4 #include "stdafx.h" 5 #include 6 #include 7 #include 8 #include 9 10 #pragma comment(lib,"psap... 阅读全文

摘要：1 #ifndef CXX_IOTIMERINLINEHOOK_H 2 # include "IoTimerInlineHook.h" 3 #endif 4 5 6 ULONG32 SSDT_NtOpenProcessIndex = 0; 7 p... 阅读全文

摘要：1 /*************************************************************************************** 2 * AUTHOR : yifi 3 * DATE : 2015-11-5 4 * MODULE : ... 阅读全文

摘要：1 /* 2 例程是在运行在DISPATCH_LEVEL的IRQL级别 3 例程中不能使用分页内存 4 另外在函数首部使用 #pragma LOCKEDCODE 5 */ 6 7 #include "Driver.h" 8 9 #define Dev... 阅读全文

摘要：首先要知道Ring3层调用OpenProcess的流程//当Ring3调用OpenProcess //1从自己的模块(.exe)的导入表中取值 //2Ntdll.dll模块的导出表中执行ZwOpenProcess(取索引 进入Ring0层)//3进入Ring0 从Ntoskernel.exe模块的导... 阅读全文

摘要：通过暴力枚举进行隐藏进程的恢复（利用进程ID全为4的倍数）EnumProcessByForceRing3层程序：首先要进行提权： 1 BOOL EnableDebugPrivilege() //Debug 2 { 3 4 HANDLE hToken = NULL; 5 ... 阅读全文

摘要：1 #ifndef CXX_HIDEPROCESS_H 2 # include "HideProcess.h" 3 #endif 4 5 6 7 #ifdef _WIN64 8 #define ActiveProcessLinksOffset_EPROCESS 0x188 9 #d... 阅读全文