-
-
[原创]小议“非法模块”与“第三方检测”的那些事儿（2）
-
发表于: 2013-4-19 13:24
-
铸矛之人，必精造盾之术。
造盾之人，必解铸矛之术。
上一贴中简单说了一下非法模块的初级阶段的检测，其实还有更高级的检测模式，就是加载检测。
(1)中的所有的检测手段都可以通过重加载模块+抹掉PE+关闭模块相关句柄来实现回避
（重加载的代码,Winker同学发过了，就不重复了。）
但这种方法对于本帖所说加载检测通常是通过Hook 加载用API来实现，
比如ntdll!LdrLoadDll这样的API,
对于这种加载检测，通常对抗手段是无效的（隐藏无效，重加载无效），
只能依靠白名单或者监控开启时间来绕过。
如通过较早的注入手段注入可以绕过大部分加载监控方式的检测（比如 导入表注入，OEP注入，TLS注入...）；
或者利用白名单，如SPI过滤或者输入法，
或者利用无法被监控的方式，如对knowndlls的section(lpk.dll的section)进行污染的方式注入。
同理对抗上也有通过驱动级ImageLoadNotifyRoutine来进行检控的（可以对抗早期OEP注入，TLS注入，导入表注入）；
对于白名单上的注入，可以通过加强特征扫描来处理，或者云扫描；
对于Section污染，可以采用对KnowDlls的Section对应DLL进行HASH效验来检测。
至于更深层次的对抗，欢迎使用IGS的培训服务。
(2)本篇主要内容：初级第三方检测。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
猪八戒不是我徒弟吧，我记得最后一个弟子是 佐助...
|
|
|
开个玩笑
,主要是太膜拜V校了,
|
|
|
佐助来了
|
|
|
啊哈哈哦吼吼
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
这周停刊了
上周说到 一代 二代 三代 四代 佐助一伙 还有你(大蛇丸) 一起奔赴战场 与 斑 决一死战了 ps : 还是得老将出马 新生代的影 被 斑 干稀碎 火影终于要完结了
|
|
|
次奥，我是问你到OP没~~不是说我,佐助这洗白太快了~
|
|
|
|
|
|
完结了，还有别的可以追~~
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
从来不自诩~，很多称呼都是朋友送的~。
|
|
|
是啊~~这面天气适宜啊~~
|
|
|
原来咱们大连也卧虎藏龙啊
|
|
|
龙公子和虎哥都不在大连了~~
我只是个苦工... |
|
|
|
