-
-
[旧帖]
[求助]求解决思路：避开驱动的createprocess回调
0.00雪花
-
发表于:
2013-1-20 22:51
1939
-
[旧帖] [求助]求解决思路：避开驱动的createprocess回调
0.00雪花
现在有个管理软件禁止运行QQ等程序，它的工作方式是：
workdaemon.sys（ndis驱动）开机运行，在系统中注册createprocess回调检测管理程序worker.exe是否启动，停止该驱动将导致网络连接不正常，无法上网。默认情况下该驱动过滤网络流量，也导致不能上网。
如果运行了worker.exe（尝试过伪造进程名但是不认），驱动检测到之后将取消网络流量的过滤，因此能够上网。
但是启动了的worker.exe会不停地检测系统进程列表（很耗资源，特想删了这程序），并与预置的列表进行匹配，如果发现匹配的进程（如QQ），worker.exe就会退出。
随着worker.exe退出，被驱动得到的createprocess的回调结束。驱动再次打开网络流量过滤。
使用xuetr能够将workdaemon.sys的createprocess回调删除。但是大多数同事都不会用，况且有的电脑是64位。所以我准备写一个程序来方便地解决此问题。请问有没有什么办法：
1.使workdaemon.sys认为worker.exe没有退出，同时结束worker.exe或使其不再检测进程
2.不使用驱动，64位没法兼容，即使兼容也没必要为了一个小程序买签名
3.不具有永久性和破坏性，或者能够简单地恢复大初始状态，过后就像什么也没做过一样
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
