|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
麦咖啡 小红伞 360都光明正大的对着干，尤其是麦咖啡，不止自己破pg还教别人咋破pg，不过后来不敢公开的发布破pg的方法了
也没看见被拉入企业黑名单呢 
|
|
|
别跟我说写360 那样HOOK OBJ 也别说是SetHookWindows!
第一种只能保护进程,但是不能完全隐藏进程.对付不了进程窗口枚举.进而归类查找出进程 第二种纯R3下.如果自我保护比较完善的进程根本威胁不到人家.比如PCHunter. 这题目在正常X64项目下是无解的!不管谁来都一样.... 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
研究过 如果要用VMX来对付PG 必须使用EPT 要不在当前PG保护下是无效的,特别是那个无视invlpg直接修改PTE执行.真心无力吐槽!
当然最后可能的还是把硬件虚化本身当一个HOOK 框架.而不是对内核PG保护进行处理!对sysenter进行HOOK.360如此这般肯定是会冲突的!毕竟鱼跟熊掌不可兼得 然后,现在我们自己弄的调试工具都是直接动态PG上去.不使用硬件虚化  然后已经偏题了.... 还有普通X64 PC 上进行窗口遍历 归类进程 这个无解. |
|
|
“然后,现在我们自己弄的调试工具都是直接动态PG上去.不使用硬件虚化”直接挂接调试器？
还是把他的的dpc都找出来一个个日掉了？ 还是针对bugchark处理？ 还是直接patch内核文件？ 顺便说句，对付窗口枚举，真心有办法…… 亲测支持7 8 8.1……不过这是个蛋疼的方法 360的做法肯定兼容性渣……他搞了别人就不能搞了……话说360是不是先把sysenter设为不可访问页面，然后用vt拦截异常？ |
|
|
如果是窗口句柄回调 那就算了.这东西没啥意义.然后对付PG 方法很多,当然不是一个个DPC去搞.
SYSENTER嘛.直接替换MSR!
|
|
|
|
|
|
|
|
|
|
|
|
 ,隐藏技术早都有了，只是不愿意公开而已，你叫嚷个啥！PG也不是万能的，你所谓的常规技术是什么？这些常规技术在没出来之前也不是所有人都能掌握的，真理永远掌握在少数人手里，没有什么不可能，还是好好学习去吧孩纸。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
汗死……你的搞法不就等于是静态修改内核文件……
不是窗口句柄回调…… 所谓替换MSR就等于xxoobootmgr吧 |
|
|
|
