[原创]对于极虎病毒驱动，啰嗦两句-软件逆向-看雪-安全社区|安全招聘|kanxue.com

最新回复 (8)
Crakme 雪币： 2194 活跃值： (1001) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 378 粉丝 0 关注私信	Crakme 2 楼学了一招改ImageBase 2012-5-4 12:30 0
小覃雪币： 615 活跃值： (172) 能力值： ( LV9，RANK：140 ) 在线值：发帖 19 回帖 553 粉丝 4 关注私信	小覃 2 3 楼学习了........ 2012-5-4 12:49 0
ReturnsMe 雪币： 269 活跃值： (25) 能力值： ( LV7，RANK：100 ) 在线值：发帖 6 回帖 162 粉丝 0 关注私信	ReturnsMe 2 4 楼对于加载后自删除的驱动，在他加载时把驱动文件转储出来就行了，拿ida看内存dump多费劲~ NTSTATUS FakeNtCreateSection( OUT PHANDLE SectionHandle, IN ACCESS_MASK DesiredAccess, IN POBJECT_ATTRIBUTES ObjectAttributes, IN PLARGE_INTEGER SectionSize OPTIONAL, IN ULONG Protect, IN ULONG Attributes, IN HANDLE FileHandle) { state = ObReferenceObjectByHandle(FileHandle, FILE_ALL_ACCESS, IoFileObjectType, KernelMode, (PVOID)&pFileObj, NULL); if (NT_SUCCESS(state)) { if ( Protect == PAGE_EXECUTE && Attributes == SEC_IMAGE && (int)FileHandle>= 0x80000000 ) { state = GetFileFullPathByFileObj(pFileObj,szPath); if (!NT_SUCCESS(state)) { goto pass; } //转储驱动文件 DumpSysFile(szPath); } ObDereferenceObject(pFileObj); } pass: xxxx } 2012-5-4 14:50 0
futosky 雪币： 862 活跃值： (329) 能力值： ( LV9，RANK：165 ) 在线值：发帖 23 回帖 171 粉丝 1 关注私信	futosky 3 5 楼嘿嘿，我一般拦截驱动加载，直接资源管理器拷出来 2012-5-4 17:24 0
hackerlzc 雪币： 1689 活跃值： (379) 能力值： ( LV15，RANK：440 ) 在线值：发帖 33 回帖 613 粉丝 16 关注私信	hackerlzc 10 6 楼又学一招！！ 2012-5-4 18:12 0
dEARMoON 雪币： 106 活跃值： (40) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 95 粉丝 0 关注私信	dEARMoON 7 楼 lm xxxxx --> get imagebase ida --> edit --> segments --> rebase program --> modify imagebase --> ok 2012-5-4 18:13 0
futosky 雪币： 862 活跃值： (329) 能力值： ( LV9，RANK：165 ) 在线值：发帖 23 回帖 171 粉丝 1 关注私信	futosky 3 8 楼感谢楼上，ida我还是初学啊…… 2012-5-4 18:23 0
cmdxhz 雪币： 1753 活跃值： (885) 能力值： ( LV8，RANK：120 ) 在线值：发帖 30 回帖 291 粉丝 3 关注私信	cmdxhz 1 9 楼修改imagebase 这个还确实学了一招·~ 2012-8-5 13:40 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (8)
Crakme 雪币： 2194 活跃值： (1001) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 378 粉丝 0 关注私信	Crakme 2 楼学了一招改ImageBase 2012-5-4 12:30 0
小覃雪币： 615 活跃值： (172) 能力值： ( LV9，RANK：140 ) 在线值：发帖 19 回帖 553 粉丝 4 关注私信	小覃 2 3 楼学习了........ 2012-5-4 12:49 0
ReturnsMe 雪币： 269 活跃值： (25) 能力值： ( LV7，RANK：100 ) 在线值：发帖 6 回帖 162 粉丝 0 关注私信	ReturnsMe 2 4 楼对于加载后自删除的驱动，在他加载时把驱动文件转储出来就行了，拿ida看内存dump多费劲~ NTSTATUS FakeNtCreateSection( OUT PHANDLE SectionHandle, IN ACCESS_MASK DesiredAccess, IN POBJECT_ATTRIBUTES ObjectAttributes, IN PLARGE_INTEGER SectionSize OPTIONAL, IN ULONG Protect, IN ULONG Attributes, IN HANDLE FileHandle) { state = ObReferenceObjectByHandle(FileHandle, FILE_ALL_ACCESS, IoFileObjectType, KernelMode, (PVOID)&pFileObj, NULL); if (NT_SUCCESS(state)) { if ( Protect == PAGE_EXECUTE && Attributes == SEC_IMAGE && (int)FileHandle>= 0x80000000 ) { state = GetFileFullPathByFileObj(pFileObj,szPath); if (!NT_SUCCESS(state)) { goto pass; } //转储驱动文件 DumpSysFile(szPath); } ObDereferenceObject(pFileObj); } pass: xxxx } 2012-5-4 14:50 0
futosky 雪币： 862 活跃值： (329) 能力值： ( LV9，RANK：165 ) 在线值：发帖 23 回帖 171 粉丝 1 关注私信	futosky 3 5 楼嘿嘿，我一般拦截驱动加载，直接资源管理器拷出来 2012-5-4 17:24 0
hackerlzc 雪币： 1689 活跃值： (379) 能力值： ( LV15，RANK：440 ) 在线值：发帖 33 回帖 613 粉丝 16 关注私信	hackerlzc 10 6 楼又学一招！！ 2012-5-4 18:12 0
dEARMoON 雪币： 106 活跃值： (40) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 95 粉丝 0 关注私信	dEARMoON 7 楼 lm xxxxx --> get imagebase ida --> edit --> segments --> rebase program --> modify imagebase --> ok 2012-5-4 18:13 0
futosky 雪币： 862 活跃值： (329) 能力值： ( LV9，RANK：165 ) 在线值：发帖 23 回帖 171 粉丝 1 关注私信	futosky 3 8 楼感谢楼上，ida我还是初学啊…… 2012-5-4 18:23 0
cmdxhz 雪币： 1753 活跃值： (885) 能力值： ( LV8，RANK：120 ) 在线值：发帖 30 回帖 291 粉丝 3 关注私信	cmdxhz 1 9 楼修改imagebase 这个还确实学了一招·~ 2012-8-5 13:40 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复