首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[求助]驱动层检测R3进程API有没有被hook
发表于: 2016-12-8 00:22 4462

[求助]驱动层检测R3进程API有没有被hook

次元有名 活跃值
1
2016-12-8 00:22
4462
如题，请问各位大神们，如何在驱动层检测R3的进程API有没有被hook？

[课程]FART 脱壳王！加量不加价！FART作者讲授！

收藏
免费 ・0
支持
分享
最新回复 (4)
DegerYang
雪    币： 346
活跃值： (45)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
2 楼
重载模块  根重载内核一样
2016-12-8 08:40
0
sushuangju
雪    币： 268
活跃值： (114)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
ssdt hook可以比较ssdk原地址和当前地址。
2016-12-8 11:46
0
altmanx
雪    币： 145
活跃值： (40)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
4 楼
1.得到R3 API的当前地址.

2.内核中映射对应的DLL

3.对比内存中的API字节码与磁盘文件是否一致.
2016-12-12 12:00
0
xacker
雪    币： 522
活跃值： (10)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
5 楼
记得很早以前坛子里就有文章了    自己搜搜吧
主要步骤就是 读PE对齐 重定位后  跟内存里的PE对比    一般只比对TEXT 和PAGE段   
IAT 部分 稍微处理一下就可以了
2016-12-12 17:09
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//