能力值:
( LV7,RANK:100 )
|
-
-
2 楼
赞一个!
|
能力值:
( LV4,RANK:50 )
|
-
-
3 楼
好猥琐的办法~
借助操作系统的PELoader来做加载,完成其他的一些任务~不错~
|
能力值:
( LV4,RANK:50 )
|
-
-
4 楼
32位内核文件 OEP 改
xor eax,eax //返回STATUS_SUCCESS
ret 8
再重新计算文件校验和填充即可
|
能力值:
( LV2,RANK:10 )
|
-
-
5 楼
没错,就是这样
|
能力值:
( LV4,RANK:50 )
|
-
-
6 楼
不如注册一个ImageLoadNotify,在Notify里修改OEP,指向到你的SYS里,这样就可以在你的SYS里获取到内核文件的DriverObject,设置卸载例程。这样做就可以免去修正CheckSum的问题了
|
能力值:
( LV2,RANK:10 )
|
-
-
7 楼
我直接用ObReferenceObjectByFileName获取,然后卸载,不需要注册
|
能力值:
( LV2,RANK:10 )
|
-
-
8 楼
原来可以这样啊,这不好简单啊
|
能力值:
( LV9,RANK:610 )
|
-
-
9 楼
思路很好,赞一个
|
能力值:
( LV12,RANK:760 )
|
-
-
10 楼
好思路~
|
能力值:
( LV2,RANK:15 )
|
-
-
11 楼
好棒的思路!
|
能力值:
( LV2,RANK:10 )
|
-
-
12 楼
nt和win32k都是这么搞的么,楼Z
|
能力值:
( LV2,RANK:10 )
|
-
-
13 楼
因为内存池无法加载SEH,所以如果调用函数有抛出异常,会蓝屏
这个问题我重载内核没遇到过,SEH肯定有用,也会触发,没发现有蓝屏问题
重载个PE文件很简单,重定位,输入表处理下就行了,估计难的是大家都再内核里重载,我是r3重载好了给内核
|
能力值:
( LV2,RANK:10 )
|
-
-
14 楼
么么哒,说好的双头龙呢
|
能力值:
( LV2,RANK:10 )
|
-
-
15 楼
xpsp3下
Kernel base = 0x804d8000 PsLoadedModuleList = 0x8055e720
lkd> u NtReadVirtualMemory
nt!NtReadVirtualMemory:
805b528a 6a1c push 1Ch
805b528c 68e8ae4d80 push offset nt!MmClaimParameterAdjustDownTime+0x90 (804daee8)
805b5291 e8ea78f8ff call nt!_SEH_prolog (8053cb80)
805b5296 64a124010000 mov eax,dword ptr fs:[00000124h]
805b529c 8bf8 mov edi,eax
805b529e 8a8740010000 mov al,byte ptr [edi+140h]
805b52a4 8845e0 mov byte ptr [ebp-20h],al
805b52a7 8b7514 mov esi,dword ptr [ebp+14h]
lkd> u A43FF000+805b528a-804d8000
a44dc28a ?? ???
^ Memory access error in 'u A43FF000+805b528a-804d8000 '
A43FF000为新加载的驱动基地址
为什么 ?????
|
能力值:
( LV2,RANK:10 )
|
-
-
16 楼
耗掉。。。。。
|
能力值:
( LV2,RANK:15 )
|
-
-
17 楼
|
|
|