-
-
[原创]自己写的一款所谓的主动防御
-
发表于: 2012-2-5 17:02
-
2011年参赛用的。。。。写了4个月的晚上时间。。。很久没再修改了
开始写这个程序的时候，其实才开始学驱动。。。。所以基础打得并不牢固，当时看了SSDT原理就直接连抄加改直接来了。地址有效性检测啦，同步什么的貌似都没有，不是计算机相关专业，时间有限，数据结构、算法都没学过，代码也不规范。。。。比较烂
。
环境：WIN XP SP3 + VC6 SP6
程序的思路：
1、通过SSDT HOOK一些注册表操作函数、文件操作函数、进程线程操作函数并读取其操作值和进程PID
2、在应用层 维护3个容器，分别存储一些 文件值、进程值、注册表敏感值，这些值通过采集一些常见病毒得到，提取 经常修改的注册表值、经常操作的文件目录、经常创建的进程等
3、驱动层将PID和操作值发往应用层，应用层为每一个PID维护一个容器
应用层调用Check_In_Vector(ProcessName,iPid,Type,String,Kind,PID); 为每一个PID填充以下结构：
struct Query_Pass
{
char ProcessName[256];
int PID; //进程PID
int TID; //线程TID
int LoadDriver; //是否加载驱动
int CreateRemoteThread; //是否创建远程线程
int CreatePro; //是否创建敏感进程
int FileOperation; //是否操作敏感文件夹
int RegOperation; //是否操作敏感注册表
int ConnectInternet;
char Pid[16];
char Tid[16];
BOOL IsMulware；
};
BOOL GoOrNot(char *fathername,char *procname,char *Pid)
{
char buff[512] = {0};
ULONG a;
LARGE_INTEGER li; li.QuadPart=-10000;
KeWaitForSingleObject(&event,Executive,KernelMode,0,0);
strcpy(buff,fathername);
strcat(buff,procname);
strcat(buff,Pid);
strncpy(&output[8],buff,sizeof(buff));
a = 1;
memmove(&output[0],&a,4);
while (1)
{
KeDelayExecutionThread(KernelMode,0,&li);
memmove(&a,&output[0],4);
if (!a)
{
break;
}
}
memmove(&a,&output[4],4);
KeSetEvent(&event,0,0);
return a;
}
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 又是一个牛逼的人
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 还是要支持一下。感谢提供源码~
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
支持，向楼主学习
|
|
|
|
|
|
LZ跟我一样，对函数的返回值从不判断。。
|
