[原创]DNF 驱动对内存读取的过滤分析-软件逆向-看雪-安全社区|安全招聘|kanxue.com

[原创]DNF 驱动对内存读取的过滤分析

发表于: 2010-11-18 22:27 19245

[原创]DNF 驱动对内存读取的过滤分析

keellisa

2010-11-18 22:27

19245

下面是分析tessafe.sys对 NtReadVirtualMemory调用的过滤处理方法，以及应对办法。

一、运行DNF后打开windbg 定位到 NtReadVirtualMemory 函数位置，内核汇编代码如下：
   nt!NtReadVirtualMemory:
   805b52b8 b808d316b3    mov    eax,0B316D308h ;TesSafe.sys hook位置
805b52bd ffe0          jmp    eax
   805b52bf e8dc78f8ff    call nt!_SEH_prolog (8053cba0)
   805b52c4 64a124010000 mov    eax,dword ptr fs:[00000124h]
   805b52ca 8bf8          mov    edi,eax
   805b52cc 8a8740010000 mov    al,byte ptr [edi+140h]
   805b52d2 8845e0       mov    byte ptr [ebp-20h],al
   805b52d5 8b7514       mov    esi,dword ptr [ebp+14h]
   805b52d8 84c0          test al,al
   805b52da 7466          je    nt!NtReadVirtualMemory+0x8a (805b5342)
   805b52dc 8b450c       mov    eax,dword ptr [ebp+0Ch]
   805b52df 8d1430       lea    edx,[eax+esi]
   805b52e2 3bd0          cmp    edx,eax

   定位到0B316D308位置，此部分代码就是tessafe.sys的过滤函数。下面是对这些会汇编代码的分析，有点乱

b316d308 8bff          mov    edi,edi
   b316d30a 55             push ebp
   b316d30b 8bec          mov    ebp,esp
   b316d30d 81ec00010000 sub    esp,100h
   b316d313 60             pushad
   b316d314 9c             pushfd
   b316d315 b8206f17b3    mov    eax,0B3176F20h ;ecx = 0B3176F20h
   b316d31a 33c9          xor    ecx,ecx ;ecx =0
   b316d31c 41             inc    ecx ;ecx = 1
   b316d31d f00fc108       lock xadd dword ptr [eax],ecx ;[0B3176F20h] += 1
   b316d321 ff154c4017b3 call dword ptr ds:[0B317404Ch] ;call nt!PsGetCurrentProcess
   b316d327 8945f8       mov    dword ptr [ebp-8],eax ;[ebp-8]=current EPROCESS
   b316d32a 6a00          push 0 ; push 0
   b316d32c 8d45fc       lea    eax,[ebp-4]
   b316d32f 50             push eax ;push ptr[ebp-4]
   b316d330 6a00          push 0 ;push 0
   b316d332 a15c4117b3    mov    eax,dword ptr ds:[B317415Ch] ;eax = [B317415Ch]=805649b8
   b316d337 ff30          push dword ptr [eax] ;push 805649b8
   b316d339 6800040000    push 400h ;push 0x400
   b316d33e ff7508       push dword ptr [ebp+8] ;push 目标进程 ProcessHandle
   b316d341 ff159c4017b3 call dword ptr ds:[0B317409Ch] ;call ObReferenceObjectByHandle
   b316d347 8945f4       mov    dword ptr [ebp-0Ch],eax ;判断函数调用是否成功
   b316d34a 837df400       cmp    dword ptr [ebp-0Ch],0
   b316d34e 7d02          jge    b316d352
   b316d350 eb65          jmp    b316d3b7 ;不成功跳转
   b316d352 8b4dfc       mov    ecx,dword ptr [ebp-4] ;ecx = 目标进程句柄信息
   b316d355 ff15584117b3 call dword ptr ds:[0B3174158h] ;call ObfDereferenceObject 撤销对象的引用计数
   b316d35b 8b45fc       mov    eax,dword ptr [ebp-4] ;eax = 目标的句柄信息
   b316d35e 3b45f8       cmp    eax,dword ptr [ebp-8] ;比较目标进程是否是本进程
   b316d361 7502          jne    b316d365 ;不能，继续判断
   b316d363 eb52          jmp    b316d3b7 ;相等不进行拦截
   b316d365 6a04          push 4 ;push 4
   b316d367 ff75fc       push dword ptr [ebp-4] ;push 目标进程句柄信息
   b316d36a e8c3fdffff    call b316d132 ;判断目标进程是否是DNF进程
   b316d36f 0fb6c0       movzx eax,al
   b316d372 85c0          test eax,eax
   b316d374 7502          jne    b316d378
   b316d376 eb3f          jmp    b316d3b7 ;目标进程不是DNF进程，不进行拦截
b316d378 6a04          push 4 ;push 4
   b316d37a ff75f8       push dword ptr [ebp-8] ;当前进程eprocess
   b316d37d e8f0fcffff    call b316d072 ;比较当前进程是否在白名单中
   b316d382 0fb6c0       movzx eax,al
   b316d385 85c0          test eax,eax
   b316d387 7402          je    b316d38b ;在白名单中，继续判断
   b316d389 eb2c          jmp    b316d3b7 ;不再则跳转，将屏蔽此次调用
   b316d38b 6a04          push 4 ;push 4
   b316d38d ff75f8       push dword ptr [ebp-8] ;push 目标进程结构
   b316d390 e81bfdffff    call b316d0b0    ;判断是否在另外一份白名单中
   b316d395 0fb6c0       movzx eax,al
   b316d398 85c0          test eax,eax
   b316d39a 7402          je    b316d39e ;在第二份白名单中
   b316d39c eb19          jmp    b316d3b7 ;不在第二份白名单中，将屏蔽此次调用
   b316d39e b8206f17b3    mov    eax,0B3176F20h    ;
   b316d3a3 83c9ff       or    ecx,0FFFFFFFFh
   b316d3a6 f00fc108       lock xadd dword ptr [eax],ecx ;[0B3176F20h] += -1
   b316d3aa 9d             popfd
   b316d3ab 61             popad
   b316d3ac 8be5          mov    esp,ebp    ;
   b316d3ae 5d             pop    ebp
b316d3af b80d0000c0    mov    eax,0C000000Dh ;置返回错误代码
   b316d3b4 c21400       ret    14h ;不在白名单中，调用失败
   b316d3b7 b8206f17b3    mov    eax,0B3176F20h ;[0B3176F20h] += -1
   b316d3bc 83c9ff       or    ecx,0FFFFFFFFh
   b316d3bf f00fc108       lock xadd dword ptr [eax],ecx
   b316d3c3 9d             popfd
   b316d3c4 61             popad
   b316d3c5 8be5          mov    esp,ebp
   b316d3c7 5d             pop    ebp
   b316d3c8 6a1c          push 1Ch
   b316d3ca 68f0ae4d80    push offset nt!MmClaimParameterAdjustDownTime+0x90 (804daef0)
   b316d3cf 90             nop
   b316d3d0 90             nop
   b316d3d1 90             nop
   b316d3d2 90             nop
   b316d3d3 90             nop
   b316d3d4 90             nop
   b316d3d5 90             nop
   b316d3d6 90             nop
   b316d3d7 90             nop
b316d3d8 ff253c6e17b3 jmp    dword ptr ds:[0B3176E3Ch] ；跳转到
   b316d3de cc             int    3
   b316d3df cc             int    3

  //==============================================================================
  b316d132  如果为DNF进程返回0 否则返回1

    b316d132 8bff          mov    edi,edi
   b316d134 55             push ebp
   b316d135 8bec          mov    ebp,esp
   b316d137 51             push ecx
   b316d138 53             push ebx
   b316d139 56             push esi
   b316d13a c645ff00       mov    byte ptr [ebp-1],0 ;[ebp-1] = 0;
   b316d13e 32db          xor    bl,bl ;bl = 0;
   b316d140 ff15084017b3 call dword ptr ds:[0B3174008h] ;call KeGetCurrentIrql 得到IRQ级别
   b316d146 3c02          cmp    al,2 ;判断是否在 DISPATCH_LEVEL级别
   b316d148 bebc7117b3    mov    esi,0B31771BCh ;esi = 0B31771BCh
   b316d14d 8bce          mov    ecx,esi ;ecx = 0B31771BCh
   b316d14f 720a          jb    b316d15b ;小于DISPATCH_LEVEL级别跳转
   b316d151 ff15784017b3 call dword ptr ds:[0B3174078h] ; call KefAcquireSpinLockAtDpcLevel
   b316d157 fec3          inc    bl ;b1++
   b316d159 eb09          jmp    b316d164
   b316d15b ff150c4017b3 call dword ptr ds:[0B317400Ch] ;call KfAcquireSpinLock
   b316d161 8845fe       mov    byte ptr [ebp-2],al
   b316d164 a1c07117b3    mov    eax,dword ptr ds:[B31771C0h]    ;eax = [B31771C0h]=88c1dee4
   b316d169 b9c07117b3    mov    ecx,0B31771C0h ;ecx = 0B31771C0h
   b316d16e eb0a          jmp    b316d17a
   b316d170 8b50cc       mov    edx,dword ptr [eax-34h] ;取得链表节点对应eprocess
   b316d173 3b5508       cmp    edx,dword ptr [ebp+8] ;与目标进程比较
   b316d176 7408          je    b316d180 ;相等跳转
   b316d178 8b00          mov    eax,dword ptr [eax]
   b316d17a 3bc1          cmp    eax,ecx ;比较 [B31771C0h] == 0B31771C0h 比较是否到链表尾部
   b316d17c 75f2          jne    b316d170 ;不等进行进程eprocess 比较
   b316d17e eb0c          jmp    b316d18c ;到链表结尾，跳转
   b316d180 8b4d0c       mov    ecx,dword ptr [ebp+0Ch] ;ECX=4
   b316d183 8548e0       test dword ptr [eax-20h],ecx ;0x7ff&0x04 >0
   b316d186 7404          je    b316d18c
   b316d188 c645ff01       mov    byte ptr [ebp-1],1 ;[ebp-1]=1
   b316d18c 84db          test bl,bl ;b1 ==0
   b316d18e 8bce          mov    ecx,esi ;ecx=0B31771BCh
   b316d190 7408          je    b316d19a ;=0 跳转
   b316d192 ff15744017b3 call dword ptr ds:[0B3174074h]
   b316d198 eb09          jmp    b316d1a3
   b316d19a 8a55fe       mov    dl,byte ptr [ebp-2] ;dl =irql级别
   b316d19d ff15104017b3 call dword ptr ds:[0B3174010h] ;call KfReleaseSpinLock
   b316d1a3 8a45ff       mov    al,byte ptr [ebp-1] a1 = 1
   b316d1a6 5e             pop    esi
   b316d1a7 5b             pop    ebx
   b316d1a8 c9             leave
   b316d1a9 c20800       ret    8
//=====================================================================
b316d072  判断是否在白名单1中

b316d072 8bff          mov    edi,edi
   b316d074 55             push ebp
   b316d075 8bec          mov    ebp,esp
   b316d077 8b0da87117b3 mov    ecx,dword ptr [TesSafe+0xd1a8 (b31771a8)] ;ecx = [b31771a8] = 89a3442c
   b316d07d baa87117b3    mov    edx,offset TesSafe+0xd1a8 (b31771a8) ;edx = b31771a8
   b316d082 32c0          xor    al,al ;a1 = 0
   b316d084 3bca          cmp    ecx,edx ;判断是否是空链表
   b316d086 741f          je    TesSafe+0x30a7 (b316d0a7) ;空链表跳转
   b316d088 56             push esi
   b316d089 8b7508       mov    esi,dword ptr [ebp+8] ;esi=当前进程EPROCESS
   b316d08c 3b71dc       cmp    esi,dword ptr [ecx-24h] ;比较目标进程是否在白名单中
   b316d08f 7408          je    TesSafe+0x3099 (b316d099) ;相等则跳转
   b316d091 8b09          mov    ecx,dword ptr [ecx] ；取下一个节点
   b316d093 3bca          cmp    ecx,edx ;判断是否到链表结尾
   b316d095 75f2          jne    TesSafe+0x3089 (b316d089) ;不到则继续判断
   b316d097 eb0d          jmp    TesSafe+0x30a6 (b316d0a6) ;到链表结尾，而且没有在白名单中匹配
   b316d099 8b550c       mov    edx,dword ptr [ebp+0Ch] ;edx =4
   b316d09c ff41fc       inc    dword ptr [ecx-4] ;[ecx-4]++
   b316d09f 8551e4       test dword ptr [ecx-1Ch],edx ;[ecx-1ch] 是否等于4 不等于4 则屏蔽
   b316d0a2 7402          je    TesSafe+0x30a6 (b316d0a6)
   b316d0a4 b001          mov    al,1
   b316d0a6 5e             pop    esi
   b316d0a7 5d             pop    ebp
   b316d0a8 c20800       ret    8

在windbg 查看

lkd> dd 89a3442c-24
89a34408  8a5aa288 00000500 000fffff e8710e72
89a34418  74737953 00006d65 00000000 00000000
89a34428  00000000 88afc274 b31771a8 005c003f
89a34438  0a090007 68734c4b 89d5c8f0 89ad8778
89a34448  896ec690 00000000 00000000 897e47a8
89a34458  89d5dbf0 89ad87dc 00010000 00000001
89a34468  0001502b 00000000 e3a67220 00000008
89a34478  00000000 00000000 0a080009 e174754d
lkd> !process 8a5aa288 0
Unable to read selector for PCR for processor 0
PROCESS 8a5aa288  SessionId: none  Cid: 0004 Peb: 00000000  ParentCid: 0000
DirBase: 0aed8020  ObjectTable: e1002e38  HandleCount: 474.
Image: System

下面我找到白名单进程
System
smss.exe
csrss.exe
SERVICES.EXE
LSASS.EXE
SVCHOST.EXE

//===========================
判断是否在白名单2中
b2a510b0 8bff          mov    edi,edi
   b2a510b2 55             push ebp
   b2a510b3 8bec          mov    ebp,esp
   b2a510b5 51             push ecx
   b2a510b6 53             push ebx
   b2a510b7 56             push esi
   b2a510b8 c645ff00       mov    byte ptr [ebp-1],0                                 ;[ebp-1] = 0
   b2a510bc 32db          xor    bl,bl ;b1 = 0
   b2a510be ff150880a5b2 call dword ptr [TesSafe+0xa008 (b2a58008)]       call KeGetCurrentIrql
   b2a510c4 3c02          cmp    al,2 比较当前IRQL级别是否为DISPATCH_LEVEL级别
   b2a510c6 beb8b1a5b2    mov    esi,offset TesSafe+0xd1b8 (b2a5b1b8) esi = b2a5b1b8
   b2a510cb 8bce          mov    ecx,esi ecx = b2a5b1b8
   b2a510cd 720a          jb    TesSafe+0x30d9 (b2a510d9) ;小于DISPATCH_LEVEL级别跳转
   b2a510cf ff157880a5b2 call dword ptr [TesSafe+0xa078 (b2a58078)] ;call Ke386QueryIoAccessMap
   b2a510d5 fec3          inc    bl ;b1 = 1
   b2a510d7 eb09          jmp    TesSafe+0x30e2 (b2a510e2)
   b2a510d9 ff150c80a5b2 call dword ptr [TesSafe+0xa00c (b2a5800c)] ;call KfAcquireSpinLock
   b2a510df 8845fe       mov    byte ptr [ebp-2],al    [ebp-2] 保存当前IRQL
   b2a510e2 a1b0b1a5b2    mov    eax,dword ptr [TesSafe+0xd1b0 (b2a5b1b0)] ;eax = [b2a5b1b0]=8993e02c
   b2a510e7 b9b0b1a5b2    mov    ecx,offset TesSafe+0xd1b0 (b2a5b1b0) ;ecx = b2a5b1b0
   b2a510ec eb0a          jmp    TesSafe+0x30f8 (b2a510f8)
   b2a510ee 8b50dc       mov    edx,dword ptr [eax-24h]
   b2a510f1 3b5508       cmp    edx,dword ptr [ebp+8] ;白名单判断
   b2a510f4 7408          je    TesSafe+0x30fe (b2a510fe)
   b2a510f6 8b00          mov    eax,dword ptr [eax]
   b2a510f8 3bc1          cmp    eax,ecx
   b2a510fa 75f2          jne    TesSafe+0x30ee (b2a510ee)
   b2a510fc eb0f          jmp    TesSafe+0x310d (b2a5110d)
   b2a510fe 8b4d0c       mov    ecx,dword ptr [ebp+0Ch]
   b2a51101 ff40fc       inc    dword ptr [eax-4]
   b2a51104 8548e4       test dword ptr [eax-1Ch],ecx
   b2a51107 7404          je    TesSafe+0x310d (b2a5110d)
   b2a51109 c645ff01       mov    byte ptr [ebp-1],1
   b2a5110d 84db          test bl,bl
   b2a5110f 8bce          mov    ecx,esi
   b2a51111 7408          je    TesSafe+0x311b (b2a5111b)
   b2a51113 ff157480a5b2 call dword ptr [TesSafe+0xa074 (b2a58074)]
   b2a51119 eb09          jmp    TesSafe+0x3124 (b2a51124)
   b2a5111b 8a55fe       mov    dl,byte ptr [ebp-2]
   b2a5111e ff151080a5b2 call dword ptr [TesSafe+0xa010 (b2a58010)]
   b2a51124 8a45ff       mov    al,byte ptr [ebp-1]
   b2a51127 5e             pop    esi
   b2a51128 5b             pop    ebx
   b2a51129 c9             leave
   b2a5112a c20800       ret    8


  TXPlatform.exe
  QQ.exe

二、过滤处理函数的伪代码

int g_globalValue;
int MyNtReadVirtualMemory(IN HANDLE ProcessHandle,
                                          IN PVOID BaseAddress,
                                          OUT PVOID Buffer,
                                             IN SIZE_T NumberOfBytesToRead,
                                             OUT PSIZE_T NumberOfBytesRead OPTIONAL)
{
   PEPROCESS AimProcess;
   PEPROCESS curProcess;
   //全局变量计数器加1 具体作用不详
   g_globalValue++;

   //得到当前进程信息
   curProcess = PsGetCurrentProcess();

   //得到目标进程的进程信息
   int status = ObReferenceObjectByHandle(ProcessHandle, ,,,,&AimProcess);
   if(status  < 0)
   {
         //返回失败，跳到不mask标签位置
         goto _ NoMask;
   }

   //减少引用计数
   ObfDereferenceObject(&AimProcess);

   if(curProcess  == AimProcess)
   {
      //如果当前进程等于目的进程，则不屏蔽
   goto _ NoMask;
   }

   if(0 == IsDnfProcess(&AimProcess， 4) )
   {
      //如果目的进程不是DNF进程，则不屏蔽
   goto _ NoMask;
   }

//判断当前进程是否在白名单1中
if(0 == JudeWhileList1((&curProcess， 4))
{
      //在白名单1中，则不屏蔽
      goto _ NoMask;
}

//判断当前进程是否在白名单2中
  if(0 == JudeWhileList2((&curProcess， 4))
{
      //在白名单2中，则不屏蔽
      goto _ NoMask;
}

//目的进程时DNF进程，而且既不在白名单1中，也不在白名单2中，所以下面将屏蔽此次调用
ret = 0C000000Dh;
return ret;

//不进行屏蔽处理
_NoMask:

//全局变量计数器-1
g_globalValue--;

__asm
  {

jmp NtReadVirtualMemory + 7

  }
}

对于白名单1主要为系统常驻进程如下：
System
smss.exe
csrss.exe
SERVICES.EXE
LSASS.EXE
SVCHOST.EXE

对于白名单2 可能为目前用户打开的信任进程，我这里的是

  TXPlatform.exe
  QQ.exe

三、应对

1、tessafe.sys 对NtReadVirtualMemory的hook 好像其没有对恢复进行检测
2、让IsDnfProcess函数返回0
   其实这个函数内部也是有个表，这表中存储的为DNF进程的eprocess结构，如果将
   其清0 ，应该可以，我没有测试过。
3、将你想要的进程添加到白名单中。

上面的应对代码我就不写了，有兴趣的可以搜索下论坛。

登录后可查看完整内容

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏・28

免费・7

支持

最新回复 (16)
打泡泡雪币： 20 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 33 粉丝 0 关注私信	打泡泡 2 楼嗯这个不错~~ 2010-11-18 22:34 0
triones 雪币： 517 活跃值： (84) 能力值： ( LV12，RANK：250 ) 在线值：发帖 17 回帖 158 粉丝 1 关注私信	triones 6 3 楼楼主分析得好细哦。暴露太多东西了，小心TesSafe.sys又改版，TesSafe.sys的更新频度与看雪里相关文章的出现频度完全重合。由此见得，TX早就盯上这里了。 2010-11-18 22:42 0
keellisa 雪币： 335 活跃值： (55) 能力值： ( LV4，RANK：50 ) 在线值：发帖 14 回帖 59 粉丝 1 关注私信	keellisa 1 4 楼 2010-11-18 22:44 0
kagayaki 雪币： 1114 活跃值： (5074) 能力值： ( LV3，RANK：20 ) 在线值：发帖 174 回帖 1250 粉丝 25 关注私信	kagayaki 5 楼学习了!!! 2010-11-19 01:33 0
cvcvxk 雪币： 8835 活跃值： (2399) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 234 关注私信	cvcvxk 10 6 楼 svchost还算？怪不丫保护之后还是被盗号 2010-11-19 05:25 0
jerrynpc 雪币： 284 活跃值： (16) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 695 粉丝 0 关注私信	jerrynpc 7 楼很好很强大,tp又更新了 2010-11-19 07:37 0
十年寒窗雪币： 197 活跃值： (82) 能力值： ( LV2，RANK：10 ) 在线值：发帖 20 回帖 146 粉丝 2 关注私信	十年寒窗 8 楼呵呵，学习一下真佩服大牛们的反汇编功底。用IDA静态分析不行，请问该如何培养这方面的能力？？ 2010-11-19 16:52 0
lixupeng 雪币： 563 活跃值： (95) 能力值： ( LV2，RANK：10 ) 在线值：发帖 31 回帖 1636 粉丝 0 关注私信	lixupeng 9 楼 windbg不会用继续学 2010-11-20 10:28 0
guazi 雪币： 226 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 27 粉丝 0 关注私信	guazi 10 楼留下慢慢研究 2010-11-20 10:38 0
吴靖wan 雪币： 12 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 23 粉丝 0 关注私信	吴靖wan 11 楼哥们。。。。。你会被和谐的。。。。。。 2010-11-20 14:49 0
nevsayno 雪币： 333 活跃值： (46) 能力值： ( LV3，RANK：30 ) 在线值：发帖 3 回帖 170 粉丝 1 关注私信	nevsayno 12 楼 tp为什么会设置白名单？？直接修改进程名就过了检测？ 2010-11-21 03:27 0
qiyewenjie 雪币： 13 活跃值： (40) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 72 粉丝 0 关注私信	qiyewenjie 13 楼太给力了..... 2010-11-23 17:00 0
痞子辉雪币： 308 活跃值： (25) 能力值： ( LV4，RANK：50 ) 在线值：发帖 7 回帖 231 粉丝 0 关注私信	痞子辉 1 14 楼强烈支持楼主。。。 2010-11-23 18:52 0
北欧odin 雪币： 202 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 28 粉丝 0 关注私信	北欧odin 15 楼观望，，，，有相关教程没 2010-12-13 12:15 0
sssccc 雪币： 1361 活跃值： (1100) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 131 粉丝 39 关注私信	sssccc 16 楼膜拜啊强贴留名先 2010-12-13 12:38 0
hellotong 雪币： 258 活跃值： (84) 能力值： ( LV5，RANK：60 ) 在线值：发帖 15 回帖 72 粉丝 3 关注私信	hellotong 1 17 楼楼主很强悍！！！！1 2010-12-13 13:32 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

keellisa

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (16)
打泡泡雪币： 20 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 33 粉丝 0 关注私信	打泡泡 2 楼嗯这个不错~~ 2010-11-18 22:34 0
triones 雪币： 517 活跃值： (84) 能力值： ( LV12，RANK：250 ) 在线值：发帖 17 回帖 158 粉丝 1 关注私信	triones 6 3 楼楼主分析得好细哦。暴露太多东西了，小心TesSafe.sys又改版，TesSafe.sys的更新频度与看雪里相关文章的出现频度完全重合。由此见得，TX早就盯上这里了。 2010-11-18 22:42 0
keellisa 雪币： 335 活跃值： (55) 能力值： ( LV4，RANK：50 ) 在线值：发帖 14 回帖 59 粉丝 1 关注私信	keellisa 1 4 楼 2010-11-18 22:44 0
kagayaki 雪币： 1114 活跃值： (5074) 能力值： ( LV3，RANK：20 ) 在线值：发帖 174 回帖 1250 粉丝 25 关注私信	kagayaki 5 楼学习了!!! 2010-11-19 01:33 0
cvcvxk 雪币： 8835 活跃值： (2399) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 234 关注私信	cvcvxk 10 6 楼 svchost还算？怪不丫保护之后还是被盗号 2010-11-19 05:25 0
jerrynpc 雪币： 284 活跃值： (16) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 695 粉丝 0 关注私信	jerrynpc 7 楼很好很强大,tp又更新了 2010-11-19 07:37 0
十年寒窗雪币： 197 活跃值： (82) 能力值： ( LV2，RANK：10 ) 在线值：发帖 20 回帖 146 粉丝 2 关注私信	十年寒窗 8 楼呵呵，学习一下真佩服大牛们的反汇编功底。用IDA静态分析不行，请问该如何培养这方面的能力？？ 2010-11-19 16:52 0
lixupeng 雪币： 563 活跃值： (95) 能力值： ( LV2，RANK：10 ) 在线值：发帖 31 回帖 1636 粉丝 0 关注私信	lixupeng 9 楼 windbg不会用继续学 2010-11-20 10:28 0
guazi 雪币： 226 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 27 粉丝 0 关注私信	guazi 10 楼留下慢慢研究 2010-11-20 10:38 0
吴靖wan 雪币： 12 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 23 粉丝 0 关注私信	吴靖wan 11 楼哥们。。。。。你会被和谐的。。。。。。 2010-11-20 14:49 0
nevsayno 雪币： 333 活跃值： (46) 能力值： ( LV3，RANK：30 ) 在线值：发帖 3 回帖 170 粉丝 1 关注私信	nevsayno 12 楼 tp为什么会设置白名单？？直接修改进程名就过了检测？ 2010-11-21 03:27 0
qiyewenjie 雪币： 13 活跃值： (40) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 72 粉丝 0 关注私信	qiyewenjie 13 楼太给力了..... 2010-11-23 17:00 0
痞子辉雪币： 308 活跃值： (25) 能力值： ( LV4，RANK：50 ) 在线值：发帖 7 回帖 231 粉丝 0 关注私信	痞子辉 1 14 楼强烈支持楼主。。。 2010-11-23 18:52 0
北欧odin 雪币： 202 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 28 粉丝 0 关注私信	北欧odin 15 楼观望，，，，有相关教程没 2010-12-13 12:15 0
sssccc 雪币： 1361 活跃值： (1100) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 131 粉丝 39 关注私信	sssccc 16 楼膜拜啊强贴留名先 2010-12-13 12:38 0
hellotong 雪币： 258 活跃值： (84) 能力值： ( LV5，RANK：60 ) 在线值：发帖 15 回帖 72 粉丝 3 关注私信	hellotong 1 17 楼楼主很强悍！！！！1 2010-12-13 13:32 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复