首页
社区
课程
招聘
[讨论]求个思路,rootkit应该在哪个层面做隐藏文件才能绕过普遍的杀毒软件扫描
发表于: 2012-4-8 11:43 10329

[讨论]求个思路,rootkit应该在哪个层面做隐藏文件才能绕过普遍的杀毒软件扫描

2012-4-8 11:43
10329
刚才试了一下对\\FileSystem\\Ntfs做IRP_MJ_DIRECTORY_CONTROL的DISPATCH hook
来针对某个文件夹下的一个病毒文件进行隐藏。explorer看起来是隐藏了,但是我试用360自定义扫描这个文件夹,里面这个病毒还是被扫出来了。

ps:暂时还没测试其他杀软,不会是360比较强大吧

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

收藏
免费 0
支持
分享
最新回复 (13)
雪    币: 128
活跃值: (27)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
2
测试了一下,国外几款,小红伞、avast nod32都扫不到隐藏文件。
居然是国产软件给力,360和金山都能扫出来
看来什么样的国情就应该用相应的软件
2012-4-12 14:36
0
雪    币: 1149
活跃值: (888)
能力值: ( LV13,RANK:260 )
在线值:
发帖
回帖
粉丝
3
不hook  正规过滤 ,不会提示的....
2012-4-12 14:39
0
雪    币: 128
活跃值: (27)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
4
没道理吧,正规过滤(是指挂设备栈吗?)和hook DISPATCH都是处理那个irp呀,
试过寒江独钓里面的例子sflt_smpl就是正规吧,也不能躲过扫描

金山神马的扫文件时不知道做的哪个层去了?
2012-4-12 15:40
0
雪    币: 8835
活跃值: (2404)
能力值: ( LV12,RANK:760 )
在线值:
发帖
回帖
粉丝
5
AK922那个隐藏可以躲过那啥的扫描~
2012-4-12 23:38
0
雪    币: 128
活跃值: (27)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
6
恩,hook CompleteRequest来处理是有点效果的,
其实我更想了解他们那个irp怎么走,有时想提前截获而不想等Complete的时候
2012-4-13 14:58
0
雪    币: 405
活跃值: (2250)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
7
FSD 深层 INLINE HOOK ,同时拒绝打开NTOS,NTFS,FASTFAT等驱动文件。
2012-4-13 17:02
0
雪    币: 203
活跃值: (15)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
izc
8
膜拜楼上   
2012-4-13 17:31
0
雪    币: 2194
活跃值: (1001)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9

请各位达达解释下 深层INLINE HOOK
2012-4-15 23:46
0
雪    币: 128
活跃值: (27)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
10
通常hook都是修改关键导出函数地址开始的几字节吧,估计这里是说hook到进一步有深度的地方。
还不让打开那些驱动文件,估计是防止被从磁盘读取源数据恢复hook

这样的话也挺暴力和不和谐的
2012-4-16 00:33
0
雪    币: 890
活跃值: (55)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
11
AK922很有深度,随便膜拜5楼7楼大牛,
2012-4-16 06:51
0
雪    币: 33
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
简单一点就是在IRP_MJ_DIRECTORY_CONTROL中过滤FileBothDirectoryInformation.
你也可以自己把文件对其他进程或系统重定向到一个正常的文件.这样彻底了。
2012-4-16 12:09
0
雪    币: 128
活跃值: (27)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
13
重定向到一个正常的文件?是指IRP_MJ_CREATE吗?
在哪层驱动做手脚呢?因为我试过在\\FileSystem\\Ntfs,360还是能正常检测该文件
2012-4-16 16:41
0
雪    币: 194
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
太深奥了
2018-5-5 21:38
0
游客
登录 | 注册 方可回帖
返回
//