-
-
[原创]关于非法内存访问的蓝品的一个“补丁”
-
发表于: 2013-4-12 21:10
-
我们都知道在某些情况下访问内存会蓝屏，所以我们可以用SEH~~
但是在内核环境下，不是所有的情况都可以完美走入我们的SEH~~
于是操起神器IDA和Windbg,我们分析得到：每次mmAccessFault要毁灭宇宙的时候都要调用KeInvalidAccessAllowed(x)这么个神奇的东西看看是否让毁灭~
然后patch一下当ecx==null时 返回eax=1 （ecx!=0时，则是一个PKTRAP_FRAME，需要对比的说...）发现对XX的访问时，会弹出SEH了~这就真的哦了~至于地址，从pagefault一路搜索过去（用个反汇编引擎就ok了）
无码还是有码，这是一个问题——有时间补上吧~~
补上一下某物的原型，此法在winxp-win8的32位测试ok~~至于x64,呵呵那是个需要老实干活的地方。
最后宣传一下我的网站：http://www.tigso.com/index.html
我现在做培训了，希望各位支持。
但是在内核环境下，不是所有的情况都可以完美走入我们的SEH~~
于是操起神器IDA和Windbg,我们分析得到：每次mmAccessFault要毁灭宇宙的时候都要调用KeInvalidAccessAllowed(x)这么个神奇的东西看看是否让毁灭~
然后patch一下当ecx==null时 返回eax=1 （ecx!=0时，则是一个PKTRAP_FRAME，需要对比的说...）发现对XX的访问时，会弹出SEH了~这就真的哦了~至于地址，从pagefault一路搜索过去（用个反汇编引擎就ok了）
无码还是有码，这是一个问题——有时间补上吧~~
补上一下某物的原型，此法在winxp-win8的32位测试ok~~至于x64,呵呵那是个需要老实干活的地方。
BOOLEAN
FASTCALL
KeInvalidAccessAllowed (
__in_opt PVOID TrapInformation
);
最后宣传一下我的网站：http://www.tigso.com/index.html
我现在做培训了，希望各位支持。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
恭喜恭喜啊。。。。。
还真让我在QQ上说中了。。。。。。。 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
培训，可以旁听吗？ |
|
|
你说呢？
|
|
|
潜力贴留名.Opera插图补丁.颜色补丁.字数补丁..
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
某培训教学的JAVA在线专家一小时收费700，你不知道么。我们进行的咨询是高端服务，培训不是在线咨询，请分清楚。
|
|
|
|
