首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[求助]求简单干净的SSDT检测和恢复方法！
发表于: 2012-4-1 11:43 5772

[求助]求简单干净的SSDT检测和恢复方法！

惊电 活跃值
2012-4-1 11:43
5772
看了一些资料，貌似SSDT Hook和SSDT Inline Hook的检测和恢复方法真是百花齐放、多种多样，
求一种最简单干净的有效方法，说明一下原理和具体操作，当然，有完整的驱动源码最好...
不知道XueTr是用的什么方法？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (5)
天法道
雪    币： 506
活跃值： (70)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
这种问题， 呵呵。
2012-4-1 13:01
0
xjj
雪    币： 286
活跃值： (67)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
xjj
3 楼
原始表比对

原始函数头XX字节比对（完全比对也可，只是效率问题，，但效率与错误率成正比）

原始的东西，可以通过文件得到，这样应该是最准确的。
2012-4-1 14:10
0
ybmc
雪    币： 61
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
读文件对比内存应该是最普遍的。
2012-4-1 15:25
0
惊电
雪    币： 209
活跃值： (813)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
就是说读取磁盘文件(如：ntkrnlpa.exe)来得到原始SSDT，
再与当前内存中的SSDT对比，
地址不对则为SSDT Hook，
地址范围不对则为SSDT Inline Hook么？
这应该是最准确的方法了吧？
2012-4-1 16:31
0
ybmc
雪    币： 61
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
内容不一致就是hook，更确切说是被patch。。如果是inline hook的话一般是原始代码被改成e9 xx xx xx xx以示跳转。
2012-4-3 19:12
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//