-
-
[分享]一种更加WS的人类操作检测技术的攻防
-
发表于: 2013-5-6 10:27
-
铸矛之人，必精造盾之术。
造盾之人，必解铸矛之术。
这个检测基于非常纠结的手法，使用了传说中的云暗杀技术
大体上调用了
SetupDiGetClassDevs
SetupDiEnumDeviceInfo
CM_Get_DevNode_Status
CM_Request_Device_Eject
这些东西
原理上就是，检测usb鼠标和usb键盘，然后把他们弹出去，如果X分钟内被重新插回来了，就证明了是人类在操作。
对抗：对CM_Request_Device_Eject进行hook，让其始终返回移除成功。但是不移除设备。
检测升级：
使用其他方式移除设备（比如驱动级PNP_REMOVE）
或者更换检测方式 比如屏蔽设备上某些频繁的按键输入十秒，记录一下用户会产生什么后续的操作，如果一直还在按键操作的话，嘿嘿。
造盾之人，必解铸矛之术。
这个检测基于非常纠结的手法，使用了传说中的云暗杀技术
大体上调用了
SetupDiGetClassDevs
SetupDiEnumDeviceInfo
CM_Get_DevNode_Status
CM_Request_Device_Eject
这些东西
原理上就是，检测usb鼠标和usb键盘，然后把他们弹出去，如果X分钟内被重新插回来了，就证明了是人类在操作。
对抗：对CM_Request_Device_Eject进行hook，让其始终返回移除成功。但是不移除设备。
检测升级：
使用其他方式移除设备（比如驱动级PNP_REMOVE）
或者更换检测方式 比如屏蔽设备上某些频繁的按键输入十秒，记录一下用户会产生什么后续的操作，如果一直还在按键操作的话，嘿嘿。
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
不是我，是我最近发现的检测手法。呵呵，也在学习ing
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
不影响体验。这个玩意是云暗杀，不是所有的用户会遇到，shellcode抓取非常艰苦。
|
|
|
|
|
|
|
|
|
|
|
|
就是云端发起的，本地无法看到任何代码~~现在是个云暗杀年代了~
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 哈哈我把键盘鼠标设备卸载了，总可以。。只是不人性化。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
