能力值：
( LV7，RANK：100 )
|
-
-
2 楼
赞一个！
|
能力值：
( LV4，RANK：50 )
|
-
-
3 楼
好猥琐的办法～
借助操作系统的PELoader来做加载，完成其他的一些任务～不错～
|
能力值：
( LV4，RANK：50 )
|
-
-
4 楼
32位内核文件 OEP 改
xor eax,eax //返回STATUS_SUCCESS
ret 8
再重新计算文件校验和填充即可
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
没错，就是这样
|
能力值：
( LV4，RANK：50 )
|
-
-
6 楼
不如注册一个ImageLoadNotify，在Notify里修改OEP，指向到你的SYS里，这样就可以在你的SYS里获取到内核文件的DriverObject，设置卸载例程。这样做就可以免去修正CheckSum的问题了
|
能力值：
( LV2，RANK：10 )
|
-
-
7 楼
我直接用ObReferenceObjectByFileName获取，然后卸载，不需要注册
|
能力值：
( LV2，RANK：10 )
|
-
-
8 楼
原来可以这样啊，这不好简单啊
|
能力值：
( LV9，RANK：610 )
|
-
-
9 楼
思路很好，赞一个
|
能力值：
( LV12，RANK：760 )
|
-
-
10 楼
好思路~
|
能力值：
( LV2，RANK：15 )
|
-
-
11 楼
好棒的思路！
|
能力值：
( LV2，RANK：10 )
|
-
-
12 楼
nt和win32k都是这么搞的么，楼Z
|
能力值：
( LV2，RANK：10 )
|
-
-
13 楼
因为内存池无法加载SEH，所以如果调用函数有抛出异常，会蓝屏
这个问题我重载内核没遇到过,SEH肯定有用，也会触发，没发现有蓝屏问题
重载个PE文件很简单，重定位，输入表处理下就行了，估计难的是大家都再内核里重载，我是r3重载好了给内核
|
能力值：
( LV2，RANK：10 )
|
-
-
14 楼
么么哒,说好的双头龙呢
|
能力值：
( LV2，RANK：10 )
|
-
-
15 楼
xpsp3下
Kernel base = 0x804d8000 PsLoadedModuleList = 0x8055e720
lkd> u NtReadVirtualMemory
nt!NtReadVirtualMemory:
805b528a 6a1c push 1Ch
805b528c 68e8ae4d80 push offset nt!MmClaimParameterAdjustDownTime+0x90 (804daee8)
805b5291 e8ea78f8ff call nt!_SEH_prolog (8053cb80)
805b5296 64a124010000 mov eax,dword ptr fs:[00000124h]
805b529c 8bf8 mov edi,eax
805b529e 8a8740010000 mov al,byte ptr [edi+140h]
805b52a4 8845e0 mov byte ptr [ebp-20h],al
805b52a7 8b7514 mov esi,dword ptr [ebp+14h]
lkd> u A43FF000+805b528a-804d8000
a44dc28a ?? ???
^ Memory access error in 'u A43FF000+805b528a-804d8000 '
A43FF000为新加载的驱动基地址
为什么 ？？？？？
|
能力值：
( LV2，RANK：10 )
|
-
-
16 楼
耗掉。。。。。
|
能力值：
( LV2，RANK：15 )
|
-
-
17 楼
|
|
|
|
