[下载]rokit专题研究-付费问答-看雪-安全社区|安全招聘|kanxue.com

[旧帖] [下载]rokit专题研究 0.00雪花

发表于: 2010-6-24 16:47 2466

[旧帖] [下载]rokit专题研究 0.00雪花

oatzhang

2010-6-24 16:47

2466

rokit专题研究的帖子整理一下，方便大家学习

rookit.part1.rar

rookit.part2.rar

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

上传的附件：

rookit.part1.rar （976.56kb，199次下载）
rookit.part2.rar （174.35kb，187次下载）

收藏・3

免费・0

支持

最新回复 (36) 1 2 ▶
oatzhang 雪币： 2477 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 78 粉丝 0 关注私信	oatzhang 2 楼做一回沙发，哈哈 2010-6-25 08:19 0
tianyitai 雪币： 44 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 19 粉丝 0 关注私信	tianyitai 3 楼板凳一个，咱是穷人转正再说 2010-6-26 11:53 0
mmhunter 雪币： 13 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 34 粉丝 0 关注私信	mmhunter 4 楼我也是穷人，下不起啊 2010-6-26 11:59 0
oatzhang 雪币： 2477 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 78 粉丝 0 关注私信	oatzhang 5 楼好东西下载不要钱 2010-6-27 09:15 0
oatzhang 雪币： 2477 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 78 粉丝 0 关注私信	oatzhang 6 楼 1. 内核hook 对于hook，从ring3有很多，ring3到ring0也有很多，根据api调用环节递进的顺序，在每一个环节都有hook的机会，可以有 int 2e或者 sysenter hook，ssdt hook，inline hook ，irp hook，object hook，idt hook等等。在这里，我们逐个介绍。 1）object hook 2）ssdt hook 3）inline-hook 4）idt hook 5）IRP hook 6）SYSENTER hook 7）IAT HOOK 8）EAT HOOK 2. 保护模式篇章第一部分： ring3进ring0之门 1)通过调用门访问内核 2)通过中断门访问内核 3)通过任务门访问内核 4)通过陷阱门访问内核 3。保护模式篇章第二部分：windows分页机制 1）windows分页机制 4。保护模式篇章第三部分：直接访问硬件 1）修改iopl，ring3直接访问硬件 2）追加tss默认I/O许可位图区域 3）更改tss I/O许可位图指向 5。detour 修改函数执行路径，可用于对函数的控制流程进行重定路径。 1）detour补丁 6. 隐身术 1）文件隐藏 2）进程隐藏 3）注册表键值隐藏 4）驱动隐藏 5）进程中dll模块隐藏 6）更绝的隐藏进程中的dll模块，绕过IceSword的检测 7）端口隐藏 7。ring0中调用ring3程序 1) apc方式 2) deviceiocontrol 方式 8。进程线程监控 1）监控进程创建 2）杀线程 3）保护进程和屏蔽文件执行 9。其他 1）获取ntoskrnl.exe模块地址的几种办法 2）驱动感染技术扫盲 3）shadow ssdt学习笔记 4）高手进阶windows内核定时器之一 5）高手进阶windows内核定时器之二 6）运行期修改可执行文件的路径和Command Line 7）查找隐藏驱动 8）装载驱动的几种办法 9）内核中注入dll的一种流氓方法 10）另一种读写进程内存空间的方法 11）完整驱动感染代码 12）Hook Shadow SSDT 13）ring0检测隐藏进程对于rootkit的研究，涉及到的内容比较多，需要在充分学习理解这些技术的前提下，透过目前网络上出现的一些rootkit病毒，木马来进行分析，做到活学活用。因此，对于本版块的思路很清晰，首先是基础技术理论的研究，由于目前windows还是主流的操作系统，因此，我们主要研究windows下的rootkit，这个课题是一个长期的，对这个课题感兴趣的朋友，欢迎大家一起参与讨论 2010-6-27 09:30 0
oatzhang 雪币： 2477 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 78 粉丝 0 关注私信	oatzhang 7 楼顺便看看KX数 2010-6-29 08:56 0
gjden 雪币： 6790 活跃值： (4441) 能力值： (RANK：600 ) 在线值：发帖 33 回帖 447 粉丝 277 关注私信	gjden 14 8 楼如何参与？以何种方式？ 2010-7-14 21:36 0
Funnyhe 雪币： 34 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 18 粉丝 0 关注私信	Funnyhe 9 楼收藏了谢谢O(∩_∩)O~ 2010-7-15 08:51 0
狂世战神雪币： 61 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 114 粉丝 0 关注私信	狂世战神 10 楼暂时收藏，转正后在下 2010-7-15 13:38 0
hellomike 雪币： 20 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	hellomike 11 楼穷人，下不起啊 2010-7-15 22:13 0
gtict 雪币： 228 活跃值： (3163) 能力值： ( LV3，RANK：30 ) 在线值：发帖 24 回帖 507 粉丝 6 关注私信	gtict 12 楼收藏下~~· 2010-7-15 22:28 0
fwxj星星雪币： 208 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	fwxj星星 13 楼谢谢LZ了，下了学习 2010-8-25 09:44 0
我是sld 雪币： 261 活跃值： (55) 能力值： ( LV6，RANK：90 ) 在线值：发帖 21 回帖 365 粉丝 1 关注私信	我是sld 2 14 楼收藏了...谢谢楼主... 2010-8-25 12:30 0
Silvin 雪币： 26 活跃值： (16) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 0 关注私信	Silvin 15 楼看到楼主的在线时长和注册时间，惭愧，惭愧嘿嘿，等会下载学习下咯 2010-8-26 10:40 0
qqroot 雪币： 1102 活跃值： (975) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 55 粉丝 0 关注私信	qqroot 16 楼额。。我的看看kx多少了。。 2010-8-26 21:55 0
LuckyG 雪币： 275 活跃值： (51) 能力值： ( LV3，RANK：30 ) 在线值：发帖 36 回帖 489 粉丝 1 关注私信	LuckyG 17 楼最喜欢doc跟chm的了下载了chm的正在复制粘贴doc版本的结果lz就放上来了感谢啊~ 2010-10-13 11:16 0
ycmint 雪币： 1149 活跃值： (888) 能力值： ( LV13，RANK：260 ) 在线值：发帖 28 回帖 893 粉丝 10 关注私信	ycmint 5 18 楼好东西。。正找着呢】 2010-10-13 11:40 0
何厚铧雪币： 12 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 177 粉丝 0 关注私信	何厚铧 19 楼这是好东西，可是我不会用。 2010-10-13 12:20 0
cscncllf 雪币： 192 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 125 粉丝 0 关注私信	cscncllf 20 楼收藏了谢谢 2010-10-13 12:26 0
unknownace 雪币： 28 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 79 粉丝 0 关注私信	unknownace 21 楼转正还有很长的路要走啊~~~ 2010-10-13 12:43 0
lookzo 雪币： 6 活跃值： (1125) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 526 粉丝 1 关注私信	lookzo 22 楼收藏，THKS 2010-10-13 12:47 0
woyuwoxing 雪币： 2 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 116 粉丝 0 关注私信	woyuwoxing 23 楼收藏了，谢谢楼主 2010-10-13 14:20 0
咪···WC 雪币： 255 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 354 粉丝 0 关注私信	咪···WC 24 楼等转正后在来吧··· 2010-10-13 16:47 0
cuidaniu 雪币： 147 活跃值： (13) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 39 粉丝 0 关注私信	cuidaniu 25 楼不错的教程，谢谢发布，一定要深入学习 2010-10-13 18:47 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

oatzhang

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (36) 1 2 ▶
oatzhang 雪币： 2477 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 78 粉丝 0 关注私信	oatzhang 2 楼做一回沙发，哈哈 2010-6-25 08:19 0
tianyitai 雪币： 44 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 19 粉丝 0 关注私信	tianyitai 3 楼板凳一个，咱是穷人转正再说 2010-6-26 11:53 0
mmhunter 雪币： 13 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 34 粉丝 0 关注私信	mmhunter 4 楼我也是穷人，下不起啊 2010-6-26 11:59 0
oatzhang 雪币： 2477 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 78 粉丝 0 关注私信	oatzhang 5 楼好东西下载不要钱 2010-6-27 09:15 0
oatzhang 雪币： 2477 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 78 粉丝 0 关注私信	oatzhang 6 楼 1. 内核hook 对于hook，从ring3有很多，ring3到ring0也有很多，根据api调用环节递进的顺序，在每一个环节都有hook的机会，可以有 int 2e或者 sysenter hook，ssdt hook，inline hook ，irp hook，object hook，idt hook等等。在这里，我们逐个介绍。 1）object hook 2）ssdt hook 3）inline-hook 4）idt hook 5）IRP hook 6）SYSENTER hook 7）IAT HOOK 8）EAT HOOK 2. 保护模式篇章第一部分： ring3进ring0之门 1)通过调用门访问内核 2)通过中断门访问内核 3)通过任务门访问内核 4)通过陷阱门访问内核 3。保护模式篇章第二部分：windows分页机制 1）windows分页机制 4。保护模式篇章第三部分：直接访问硬件 1）修改iopl，ring3直接访问硬件 2）追加tss默认I/O许可位图区域 3）更改tss I/O许可位图指向 5。detour 修改函数执行路径，可用于对函数的控制流程进行重定路径。 1）detour补丁 6. 隐身术 1）文件隐藏 2）进程隐藏 3）注册表键值隐藏 4）驱动隐藏 5）进程中dll模块隐藏 6）更绝的隐藏进程中的dll模块，绕过IceSword的检测 7）端口隐藏 7。ring0中调用ring3程序 1) apc方式 2) deviceiocontrol 方式 8。进程线程监控 1）监控进程创建 2）杀线程 3）保护进程和屏蔽文件执行 9。其他 1）获取ntoskrnl.exe模块地址的几种办法 2）驱动感染技术扫盲 3）shadow ssdt学习笔记 4）高手进阶windows内核定时器之一 5）高手进阶windows内核定时器之二 6）运行期修改可执行文件的路径和Command Line 7）查找隐藏驱动 8）装载驱动的几种办法 9）内核中注入dll的一种流氓方法 10）另一种读写进程内存空间的方法 11）完整驱动感染代码 12）Hook Shadow SSDT 13）ring0检测隐藏进程对于rootkit的研究，涉及到的内容比较多，需要在充分学习理解这些技术的前提下，透过目前网络上出现的一些rootkit病毒，木马来进行分析，做到活学活用。因此，对于本版块的思路很清晰，首先是基础技术理论的研究，由于目前windows还是主流的操作系统，因此，我们主要研究windows下的rootkit，这个课题是一个长期的，对这个课题感兴趣的朋友，欢迎大家一起参与讨论 2010-6-27 09:30 0
oatzhang 雪币： 2477 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 78 粉丝 0 关注私信	oatzhang 7 楼顺便看看KX数 2010-6-29 08:56 0
gjden 雪币： 6790 活跃值： (4441) 能力值： (RANK：600 ) 在线值：发帖 33 回帖 447 粉丝 277 关注私信	gjden 14 8 楼如何参与？以何种方式？ 2010-7-14 21:36 0
Funnyhe 雪币： 34 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 18 粉丝 0 关注私信	Funnyhe 9 楼收藏了谢谢O(∩_∩)O~ 2010-7-15 08:51 0
狂世战神雪币： 61 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 114 粉丝 0 关注私信	狂世战神 10 楼暂时收藏，转正后在下 2010-7-15 13:38 0
hellomike 雪币： 20 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	hellomike 11 楼穷人，下不起啊 2010-7-15 22:13 0
gtict 雪币： 228 活跃值： (3163) 能力值： ( LV3，RANK：30 ) 在线值：发帖 24 回帖 507 粉丝 6 关注私信	gtict 12 楼收藏下~~· 2010-7-15 22:28 0
fwxj星星雪币： 208 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	fwxj星星 13 楼谢谢LZ了，下了学习 2010-8-25 09:44 0
我是sld 雪币： 261 活跃值： (55) 能力值： ( LV6，RANK：90 ) 在线值：发帖 21 回帖 365 粉丝 1 关注私信	我是sld 2 14 楼收藏了...谢谢楼主... 2010-8-25 12:30 0
Silvin 雪币： 26 活跃值： (16) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 0 关注私信	Silvin 15 楼看到楼主的在线时长和注册时间，惭愧，惭愧嘿嘿，等会下载学习下咯 2010-8-26 10:40 0
qqroot 雪币： 1102 活跃值： (975) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 55 粉丝 0 关注私信	qqroot 16 楼额。。我的看看kx多少了。。 2010-8-26 21:55 0
LuckyG 雪币： 275 活跃值： (51) 能力值： ( LV3，RANK：30 ) 在线值：发帖 36 回帖 489 粉丝 1 关注私信	LuckyG 17 楼最喜欢doc跟chm的了下载了chm的正在复制粘贴doc版本的结果lz就放上来了感谢啊~ 2010-10-13 11:16 0
ycmint 雪币： 1149 活跃值： (888) 能力值： ( LV13，RANK：260 ) 在线值：发帖 28 回帖 893 粉丝 10 关注私信	ycmint 5 18 楼好东西。。正找着呢】 2010-10-13 11:40 0
何厚铧雪币： 12 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 177 粉丝 0 关注私信	何厚铧 19 楼这是好东西，可是我不会用。 2010-10-13 12:20 0
cscncllf 雪币： 192 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 125 粉丝 0 关注私信	cscncllf 20 楼收藏了谢谢 2010-10-13 12:26 0
unknownace 雪币： 28 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 79 粉丝 0 关注私信	unknownace 21 楼转正还有很长的路要走啊~~~ 2010-10-13 12:43 0
lookzo 雪币： 6 活跃值： (1125) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 526 粉丝 1 关注私信	lookzo 22 楼收藏，THKS 2010-10-13 12:47 0
woyuwoxing 雪币： 2 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 116 粉丝 0 关注私信	woyuwoxing 23 楼收藏了，谢谢楼主 2010-10-13 14:20 0
咪···WC 雪币： 255 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 354 粉丝 0 关注私信	咪···WC 24 楼等转正后在来吧··· 2010-10-13 16:47 0
cuidaniu 雪币： 147 活跃值： (13) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 39 粉丝 0 关注私信	cuidaniu 25 楼不错的教程，谢谢发布，一定要深入学习 2010-10-13 18:47 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复