[求助][求助]DETECT WinNT-付费问答-看雪-安全社区|安全招聘|kanxue.com

[旧帖] [求助][求助]DETECT WinNT 0.00雪花

发表于: 2012-3-1 15:52 884

[旧帖] [求助][求助]DETECT WinNT 0.00雪花

kkerer

2012-3-1 15:52

884

;------ DETECT WinNT ------
MOV  EAX, [ESP+020h]
INC  EAX
JS NoNT
MOV  DWORD PTR [EBP+bNT], 1

0012FFA4 7C930228  ntdll.7C930228
0012FFA8 FFFFFFFF
0012FFAC 0012FFF0
0012FFB0 0012FFC4
0012FFB4 7FFDE000
0012FFB8 7C92E514  ntdll.KiFastSystemCallRet
0012FFBC 0012FFB0
0012FFC0 00000000
0012FFC4 7C817077  返回到 kernel32.7C817077
0012FFC8 7C930228  ntdll.7C930228

[ESP + 020H] 指向 0012FFC4 7C817077  返回到 kernel32.7C817077
为什么这样可以检测系统，是什么原理？
搞不懂，谢谢了