-
-
[原创]金山安全卫士bc.sys驱动逆向分析（附逆向工程代码）
-
发表于: 2013-11-25 18:06
-
小弟来看雪时间也不短了，只是在看各位大大发帖，自己都没有奉献过。今天把自己原来逆向的一个sys分析和源码给拿出来。对金山安全卫士的一个bc.sys的驱动进行了逆向，并且用ida把大部分改成c代码
逆向只是供研究学习，无意侵犯版权。
附件中是bc.sys的文件和完整的分析的文字记录和代码分析，还有就是逆向的idb文件，我没从idb中把代码给导出来，各位童鞋就放ida里看吧。
先来介绍bc.sys是起啥作用的
BC据笔者的猜测是BootClean的意思。网上也有人曾说过金山还有一个类似的驱动是BootClean.sys。但是笔者电脑中没有此驱动，应该是其他产品所安装的。据此推断，其实bc就是bootclean，boot型驱动，开机即删除需要清除的文件，达到清除顽固病毒的目的。以下是金山官方对BootClean.sys模块的介绍：
BOOL __stdcall BC_XorEncrypt(PUNICODE_STRING pData,UINT NumberByte, CHAR Key)
{
UINT i; // [sp+4h] [bp-4h]@1
for ( i = 0; i < NumberByte; ++i )
*(i + pData) ^= ( Key ^ (CHAR)0xBA );
return TRUE;
}
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 膜拜啊，碰到内行了
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
有空我也逆一下～
 楼主发那么直白、会不会加个免责声明比较好～ 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
