首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[求助]在R3下DuplicateHandle方式的注入可以防止吗?
发表于: 2013-10-22 15:06 8483

[求助]在R3下DuplicateHandle方式的注入可以防止吗?

lanlongnet 活跃值
2013-10-22 15:06
8483
在看雪的帖子里看到可以使用DuplicateHandle方式注入到别的进程里面去。

帖子地址：http://bbs.pediy.com/showthread.php?t=159741

在帖子的第3页的57楼里，有个高手说是使用DuplicateHandle注入的，然后我又查到使用QuerySystemInformation函数的话，可以得到所有的进程句柄，可以与之比对检测是否是目标进程，然后就DuplicateHandle，然后把dll注入到别人的进程里面了。

我的问题是：
1、是否真的就是使用QuerySystemInformation和DuplicateHandle的方式，就完全可以在自己的进程里实现整个注入的过程了，别的进程无论hook了什么函数都没有用？

2、如果问题1的结果成立的话，在ring3层下是不是就没有办法防止注入了那？

第一次发帖不知道似乎符合看雪的规定，如果不对请见谅，我会尽量改正。

[培训]传播安全知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (5)
Rookietp
雪    币： 1047
活跃值： (766)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
DuplicateHandle 不是只是借句柄么
2013-10-22 16:46
0
rqqeq
雪    币： 11
活跃值： (40)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
不让dllload即可
而且你不知道不让别人复制啊……
2013-10-22 22:15
0
lanlongnet
雪    币： 98
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
1、怎能能防止别人复制那？

2、如果被强制暂停了整个进程，通过设置线程上下文把内存中的dll内容直接写进去的话，好像连个痕迹都没有了吧，怎么防止那？
2013-10-22 23:59
0
rqqeq
雪    币： 11
活跃值： (40)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
唉……很久以前的技术了
复制所有进程（主要是csrss）的句柄，然后把本进程的句柄找出来一个个关掉
2013-10-23 17:57
0
thenight
雪    币： 118
活跃值： (27)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
6 楼
非常古老的东西.
不用什么防复制.
大部分保护都过滤了.
难道你写保护就只过滤ntopenprocess和ntopenthread吗?

再者.不需要1成立.r3防注入也是不可能的事情.
只要能写内存.就可以大大方方放一个peloader的shellcode进去
2013-10-23 23:13
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回