-
-
[原创]畸形驱动过A盾
-
发表于: 2012-10-24 09:37
-
加载后文件暴走
我拿E语言敷衍了一下 学校没C 没SSDT OBJECT保护的文件文件名随意改 重启电脑业是一样
我拿E语言敷衍了一下 学校没C 没SSDT OBJECT保护的文件文件名随意改 重启电脑业是一样
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
 这世界太疯狂了，现在又开始捣鼓过A盾了，嫌杀毒软件，和game保护档次太低嘛，收藏学习，写楼主分享。楼主不厚道，没上传源码。
|
|
|
|
|
|
|
|
|
sorry不是调试版本的 XP可以加载的 源码在家里~~~~~~~~~~~  我这周回去 看看老妈在家么，没的我发出来
|
|
|
 没有看出哪里畸形，PE头等都是正常的,HIDEOBJECT吧？
|
|
|
|
|
|
楼上的 现在你试试~~~~~ 不仅仅是A盾 POWER KERNEL......目前就Xuetr
其他的要反汇编
|
|
|
 靠不住啊，靠不住。
|
|
|
|
|
|
看不懂楼主图片上的意思，我只能认为是A盾检查不到hook过滤函数所在的模块而已，如果说过了A盾，怎么还能看到ssdt的hook？
所谓过，就是要无声无息，看不到任何的痕迹，看不到函数被hook了，那才叫过啊，你这样那里叫过。。。。o(╯□╰)o 看来楼主没有写过实战的rk，不认识精髓。 
|
|
|
|
|
|
隐藏一下驱动对象xuetr都检测不到hook模块的名称了.
|
|
|
很显然，在SSDThook取hook函数所在模块这里，我只是简单通过ZwQuerySystemInformation来取而已。 这不是重点啊，重点是在“驱动模块”那里还是可以看到你的驱动。 |
|
|
嗯
你的源代码充分说明 网上的大多安全检测工具都是你那么干的
|
|
|
|
