首页
课程
问答
CTF
社区
招聘
看雪峰会
发现
排行榜
知识库
工具下载
看雪20年
看雪商城
证书查询
登录
注册
首页
社区
课程
招聘
发现
问答
CTF
排行榜
知识库
工具下载
看雪峰会
看雪商城
证书查询
社区
付费问答
发新帖
1
0
[旧帖]
SSDT HOOK问题
0.00雪花
发表于: 2011-4-17 08:58
5877
[旧帖]
SSDT HOOK问题
0.00雪花
futosky
3
2011-4-17 08:58
5877
一个是HOOK了ZwCreateThread,本来想提示远程线程注入,但是发现新建进程时也会经过这个函数,该如何区分呢?第二个是,HOOK了ZwLoadDriver,但得到的调用进程是services.exe,父进程是winlogoin,该如何得到原始调用进程的PID?谢谢
[课程]FART 脱壳王!加量不加价!FART作者讲授!
收藏
・
1
免费
・
0
支持
分享
分享到微信
分享到QQ
分享到微博
赞赏记录
参与人
雪币
留言
时间
查看更多
赞赏
×
1 雪花
5 雪花
10 雪花
20 雪花
50 雪花
80 雪花
100 雪花
150 雪花
200 雪花
支付方式:
微信支付
赞赏留言:
快捷留言
感谢分享~
精品文章~
原创内容~
精彩转帖~
助人为乐~
最新回复
(
10
)
gaohuia
雪 币:
27
活跃值:
(10)
能力值:
( LV2,RANK:10 )
在线值:
发帖
0
回帖
9
粉丝
0
关注
私信
gaohuia
2
楼
远程防注可以参考360保险箱的做法。若进程直接调用ZwLoadDriver就会得到进程的PID,若进程调用StartService加载驱动,得到的pid就是services .exe的
2011-4-17 10:11
0
futosky
雪 币:
862
活跃值:
(329)
能力值:
( LV9,RANK:165 )
在线值:
发帖
23
回帖
171
粉丝
1
关注
私信
futosky
3
3
楼
360可以拦截到startservice方式,不知道怎么做的
2011-4-17 10:21
0
weizehua
雪 币:
143
活跃值:
(61)
能力值:
( LV5,RANK:70 )
在线值:
发帖
13
回帖
208
粉丝
1
关注
私信
weizehua
1
4
楼
它的做法,哪里有介绍?我想知道,不胜感激
2011-4-18 13:54
0
futosky
雪 币:
862
活跃值:
(329)
能力值:
( LV9,RANK:165 )
在线值:
发帖
23
回帖
171
粉丝
1
关注
私信
futosky
3
5
楼
哪位大牛给些点拨?谢谢
2011-4-23 18:43
0
futosky
雪 币:
862
活跃值:
(329)
能力值:
( LV9,RANK:165 )
在线值:
发帖
23
回帖
171
粉丝
1
关注
私信
futosky
3
6
楼
HOOK SSDT不能精确判断么?
2011-4-28 00:54
0
黑色candy
雪 币:
14
活跃值:
(10)
能力值:
( LV2,RANK:10 )
在线值:
发帖
0
回帖
27
粉丝
0
关注
私信
黑色candy
7
楼
看网上代码好像要读注册表啊。
2011-4-28 16:44
0
futosky
雪 币:
862
活跃值:
(329)
能力值:
( LV9,RANK:165 )
在线值:
发帖
23
回帖
171
粉丝
1
关注
私信
futosky
3
8
楼
我现在只能从注册表得到驱动路径,无法精准判断驱动真正的安装者
2011-4-28 20:53
0
futosky
雪 币:
862
活跃值:
(329)
能力值:
( LV9,RANK:165 )
在线值:
发帖
23
回帖
171
粉丝
1
关注
私信
futosky
3
9
楼
看了很多代码都是得到的进程为services.exe。。。。
2011-5-1 02:22
0
zyrvs
雪 币:
28
活跃值:
(10)
能力值:
( LV2,RANK:10 )
在线值:
发帖
0
回帖
1
粉丝
0
关注
私信
zyrvs
10
楼
对于NtCreateThread,可以用PsGetCurrentThread->ThreadsProcess得到当前进程的eprocess,在用NtCreatethread的hProcess,得到目标进程的eprocess就能判断是否远程创建线程了。
2011-5-3 10:43
0
futosky
雪 币:
862
活跃值:
(329)
能力值:
( LV9,RANK:165 )
在线值:
发帖
23
回帖
171
粉丝
1
关注
私信
futosky
3
11
楼
NtCreateThread搞定了,但就是加载驱动只能得到services.exe进程加载驱动(SCM方式加载),360的HookPort.sys好像可以做到精确判断
2011-5-8 12:03
0
游客
登录
|
注册
方可回帖
回帖
表情
雪币赚取及消费
高级回复
返回
futosky
3
23
发帖
171
回帖
165
RANK
关注
私信
他的文章
[讨论]关于一些安全组织
4397
[原创]发一个2年前写的关于网页内容保护的程序
5270
[原创]基于diskperf写了一个U盘控制程序
10414
[求助]磁盘过滤驱动的问题
5312
关于我们
联系我们
企业服务
看雪公众号
专注于PC、移动、智能设备安全研究及逆向工程的开发者社区
看原图
赞赏
×
雪币:
+
留言:
快捷留言
返回
顶部