-
-
[原创]学习内核Reload
-
发表于: 2012-12-31 03:02
-
首先多谢kanxue老大给转正了～～～
开始接触驱动，看了某大神的<BypassAntiDebug>项目，看得云里来雾里去，不动手始终是不了解的，边抄边学，最终还是从大神的项目学到不少东西，在这首先感觉大神。不过也令俺的本本蓝了N次
简单介绍下项目：
首先HookPort.sys是加载内核文件ntkrnlpa.exe和win32k.sys 提供一个注册函数的接口
然后另起一个驱动HpFilter.sys，向这个驱动发送过滤函数
然后，，，完了
HOOK的服务函数的索引，我是从r3通过查找ntdll后,发送给HpFilter.sys.可能直接在驱动可以load ntdll.dll来读索引，我没试过。
使用：
操作系统是win7 32位 先把HookPort.sys加载，然后运行DriverClient.exe,点击[HookPort],再加载HpFilter.sys,再点击[SendIndex],即把r3层读到的服务函数索引发给HpFilter.sys,再点击[HookFunc]，即向HookPort发送过滤函数，并进行HOOK。卸载的话要先把HpFilter.sys卸载了，再卸载HookPort.sys
发代码给初学者一起学习下，有大神偶尔有兴趣看到的话，帮指点下，有时候还是会BSOD，又不怎么懂分析DUMP文件。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
 内核reload已经是白菜价格的技术，看看A盾源码吧。最稳定的reload使用。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
好，我下来看看～先找各大大的源码来学习学习
|
|
|
|
|
|
|
|
|
|
|
|
 我主要是看 大神的<BypassAntiDebug>项目 的变量和结构体的命名,看的云里雾里,很多变量都是一样的名字后边跟不同数字,正在重写中根据自己的理解把结构体和变量的命名全改成好理解的名字,估计哪我才能完全理解源代码的思路,可惜你这是windows 7的,我只想让它在XP上跑.再次深深的感谢,看雪开源的各位大牛,给像我这样的菜鸟指引了入门的方向. |
|
|
|
|
|
|
|
|
|
|
|
好，但落后了只能勤奋点了。还有多谢版主大大推荐
|
|
|
|
|
|
|
|
|
|
