-
-
[原创]某杀毒文件监控引擎现文件名称白名单后门，安全软件安全思想在哪里？
-
发表于:
2010-12-8 16:06
4514
-
[原创]某杀毒文件监控引擎现文件名称白名单后门，安全软件安全思想在哪里？
HANDLE GetOwnerProcessId()
{
char* ProcessName;
char* peb;
if(ProcessNameOffset)
{
peb = (char*)IoGetCurrentProcess();
ProcessName = peb + ProcessNameOffset;
if(_stricmp(ProcessName,scaner_processname) == 0) return (HANDLE)2;
if(_stricmp(ProcessName,watch_processname) == 0) return (HANDLE)3;
}
return 0;
}
某杀毒的文件监控驱动内核模块中对自己杀毒中的名称进行白名单过滤，众所周知，文件监控最主要是处理IRP_MJ_CREATE 与 IRP_MJ_CLEANUP 两个例程，而一般会为每一个监控的文件分配一个内存虚拟文件对象，而文件名白名单出现了，就意味着，如果病毒文件是同样的文件名，则文件监控驱动更本不起作用，很好很强大的文件名查杀和文件名过滤白名单。
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
