2015年11月16日

驱动开发之进程对抗

只有注册用户登录后才能阅读该文。 阅读全文

posted @ 2015-11-16 15:46 yifi 阅读(52) 评论(0) 推荐(0)

Resume InlineHookSSDT

摘要： 在InlineHook中修改了zwOpenProcess函数的中的指令与Resume HookSSDT同理 找出一个正确的值覆盖上去就行、突发奇想 有没有可能上去一个驱动或者程序 直接卸载掉InlineHook 岂不是很爽直接映射WCHAR wzFileFullPath[] = L"\\Syste... 阅读全文

posted @ 2015-11-16 15:21 yifi 阅读(245) 评论(0) 推荐(0)

ResumeInlineHookSSDT

该文被密码保护。 阅读全文

posted @ 2015-11-16 15:06 yifi 阅读(5) 评论(0) 推荐(0)

InlineHook

该文被密码保护。 阅读全文

posted @ 2015-11-16 14:13 yifi 阅读(4) 评论(0) 推荐(0)

InLineHookSSDT

摘要： //当Ring3调用OpenProcess//1从自己的模块(.exe)的导入表中取值//2Ntdll.dll模块的导出表中执行ZwOpenProcess(取索引 进入Ring0层)//3进入Ring0 从Ntoskernel.exe模块的导出表中执行ZwOpenProcess(取索引 获得SSDT... 阅读全文

posted @ 2015-11-16 14:13 yifi 阅读(331) 评论(0) 推荐(0)

RemoveDPC

摘要： HOOKSSDT中加入了DPC之后 要取消DPC首先找到DPCHookSSDT.sys的基地址和大小通过枚举所有DPC的地址 将在范围之内的DPC定时器全部移除枚举DPC：WinXP：1.首先要得到KiTimerTableListHead在WinXP中只需要通过查找8d就可以定位到KiTimerTa... 阅读全文

posted @ 2015-11-16 13:45 yifi 阅读(291) 评论(0) 推荐(0)

Resume Hook SSDT

摘要： 在HookSSDT中 通过在第4部通过索引将NtOpenProcess 换成 Base[索引] = FakeNtOpenProcess;so 在阻止时应该在ntoskrnl.exe找到真正的OpenProcess的地址 然后替换上去 阅读全文

posted @ 2015-11-16 13:04 yifi 阅读(171) 评论(0) 推荐(0)

导航