-
-
[求助]谁能过WIN8和8.1的patchguard，以及谁能帮我下个东西？
-
发表于: 2013-12-24 02:22
-
要把拦截提权和修改时间等功能在WIN8和8.1 64上实现，但因为patchguard的原因，内核HOOK会蓝屏。别跟我提RING3的HOOK，这种东西是糊弄不了老板的。
现在SSDT HOOK经过千辛万苦是写好了，但只能在DEBUG模式下用，正常模式下没几分钟就蓝了。
网上搜索到这个过WIN8 patchguard的：http://www.m5home.com/bbs/thread-7870-1-1.html，但作者不肯公开放出。
谁能帮我弄到这个附件？
或者谁还有别的办法，能在WIN8 64上HOOK SSDT或者别的内核HOOK（顺带给个代码）？？？小弟在此跪谢了。
本人实习生一个，月薪1800，没有啥钱，谁要能帮我我就把所有的KX给他了哎。
现在SSDT HOOK经过千辛万苦是写好了，但只能在DEBUG模式下用，正常模式下没几分钟就蓝了。
网上搜索到这个过WIN8 patchguard的：http://www.m5home.com/bbs/thread-7870-1-1.html，但作者不肯公开放出。
谁能帮我弄到这个附件？
或者谁还有别的办法，能在WIN8 64上HOOK SSDT或者别的内核HOOK（顺带给个代码）？？？小弟在此跪谢了。
本人实习生一个，月薪1800，没有啥钱，谁要能帮我我就把所有的KX给他了哎。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
BOSS才不管你用什么方法呢。
 我也不想得罪PG，只想在R0实现拦截“提权”和“改时间”。这才是我的目的。 问题是除了HOOK SSDT之外，还有别的方法实现么？？？
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
PatchGuard引发蓝屏的方式：
KeBugCheckEx(0x109,0x0,0x0,0x0,0x7); 
PVOID GetFunctionAddr(PCWSTR FunctionName)
{
UNICODE_STRING UniCodeFunctionName;
RtlInitUnicodeString( &UniCodeFunctionName, FunctionName );
return MmGetSystemRoutineAddress( &UniCodeFunctionName );
}
void WPOFFx64()
{
UINT64 cr0=__readcr0();
cr0 &= 0xfffffffffffeffff;
__writecr0(cr0);
_disable();
}
void WPONx64()
{
UINT64 cr0=__readcr0();
cr0 |= 0x10000;
_enable();
__writecr0(cr0);
}
VOID AntiBugCheck_1() //SUCCESS
{
//KeBugCheckEx
//fffff800`03c81f00 48894c2408 mov qword ptr [rsp+8],rcx
UCHAR fuckcode[210]={0};
KIRQL OldIrql;
ULONG jmpcode;
//get address
PVOID bcaddr = GetFunctionAddr(L"KeBugCheckEx");
//set memory
memset(fuckcode,0x90,210);
memset((PVOID)((UINT64)fuckcode+201),0xE9,1);
//calc shellcode
jmpcode=(ULONG)((ULONG64)bcaddr-((ULONG64)bcaddr+201)-5);
memcpy(fuckcode+202,&jmpcode,4);
//patch
WPOFFx64();
OldIrql = KeRaiseIrqlToDpcLevel();
RtlMoveMemory(bcaddr,fuckcode,210);
KeLowerIrql(OldIrql);
WPONx64();
}
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
