首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[求助]内核有一个创建进程的回调删除了会被一直恢复，　找不到从哪恢复的？
发表于: 2015-11-5 11:44 3910

[求助]内核有一个创建进程的回调删除了会被一直恢复，　找不到从哪恢复的？

jsfw 活跃值
2015-11-5 11:44
3910
内核有一个创建进程的回调删除了会被一直恢复，　找不到从哪恢复的，原来是时候是用iotimer恢复的，　但是删除掉iotimer后，　还会从内核线程中恢复，　现在那个内核线程看不到了，　不知道是隐藏了还是不用了，　现在就是一直找不到恢复的地方在哪，　各位大牛能不能帮分析一下，　内核中除了iotimer, 还有内核线程的方式，　还有什么其他方式可以一直执行来恢复CreateProcess回调？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (1)
lynnux
雪    币： 3532
活跃值： (1862)
能力值： ( LV6，RANK：93 )
在线值：
发帖
回帖
粉丝
私信
2 楼
这...直接在PsSet设置回调的那个API那里下断，断住后看堆栈不就知道了
2015-11-5 16:32
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//