-
-
[求助]恢复一个软件的ssdt hook
-
发表于: 2015-7-6 21:40
-
学校机房里都安装了联想网络控制工具，软件功能很强大，远程开机关机，同传等等。
一个哥们贱贱的问我，能把它办了不。然后，我就丢人了。
首先，用任务管理器结束任务试试，预料之中，“无法访问”。我想，可能是hook了几个Ring3层函数，那我就试试驱动吧。
接着，前两天刚写的几个Ring0层结束进程的驱动，于是拿来试试，没想到，也不可以，应该是把内核函数hook了。
然后，借助超级强大的XueTr工具来看看吧，果不其然，ssdt被hook了。XueTr可以恢复ssdt hook,然后把它hook的NtOpenProcess,NtTerminateProcess等几个函数恢复了，不过，高兴地太早了，刷新一下，那几个函数又被hook了。
然后，既然XueTr不给力，那我就自己试试吧，用XurTr查看内核函数的现地址与原地址，然后，反汇编，在开头部分，jmp 到内核函数原地址。唉~ 又失败了
求助啊，各位大神，指导下思路，最好有详细的步骤。
图片稍等上传。。。
一个哥们贱贱的问我，能把它办了不。然后，我就丢人了。
首先，用任务管理器结束任务试试，预料之中，“无法访问”。我想，可能是hook了几个Ring3层函数，那我就试试驱动吧。
接着，前两天刚写的几个Ring0层结束进程的驱动，于是拿来试试，没想到，也不可以，应该是把内核函数hook了。
然后，借助超级强大的XueTr工具来看看吧，果不其然，ssdt被hook了。XueTr可以恢复ssdt hook,然后把它hook的NtOpenProcess,NtTerminateProcess等几个函数恢复了，不过，高兴地太早了，刷新一下，那几个函数又被hook了。
然后，既然XueTr不给力，那我就自己试试吧，用XurTr查看内核函数的现地址与原地址，然后，反汇编，在开头部分，jmp 到内核函数原地址。唉~ 又失败了
求助啊，各位大神，指导下思路，最好有详细的步骤。
图片稍等上传。。。
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
就是那个绿色的。。。。
 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 全局钩子能注入进去么~注入进去exitprocess.各种阿，或者让它直接崩~
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
