-
-
[原创]改一个字节轻松免杀，从蓝屏电脑发现腾讯“暗云Ⅲ木马专杀”的坑爹技术
-
发表于: 2017-6-14 18:34
-
杀毒厂商喜欢包装概念，每次病毒出来都是“史上、最、超级、无敌”的，这些天被冠以“史上最XXXX”的病毒名叫暗云Ⅲ，腾讯管家又是弹窗又是连发N条微博，让大家赶快用它的专杀工具。
一脸蒙圈的群众不知道这病毒厉害不厉害，反正好像每次都很厉害，有人就用了腾讯管家的暗云Ⅲ专杀，把电脑杀得一片蓝屏，恍惚间以为永恒之蓝又卷土重来。
于是一个新的名词诞生了：暗云之蓝。
其实刚开始我以为蓝屏是病毒搞的，这个锅腾讯管家不背。直到看到一份公告，据说是腾讯管家和某机构合作发的：
既然腾讯管家自曝可能出现蓝屏，那就看看为什么杀着毒电脑会蓝。作为曾经有三位数rank的白帽子，逆向一个专杀工具也颇费了不少功夫，终于搞清楚腾讯管家暗云Ⅲ木马专杀的原理：
暗云Ⅲ木马会挂内核钩子来保护MBR，还注册了DPC函数来保护钩子，相当于双层保护，不让杀毒软件读写MBR。
腾讯管家专杀的方案，首先在内核抹掉DPC函数，再摘掉钩子，然后应用层便可以读取检测和修复MBR了。
接下来，让人大跌眼镜的一幕出现了！
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
没驱动，内核代码保护 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Win10同时支持MBR与UEFI启动，除非电脑是品牌电脑并且预装的是Win8以上系统，否则大部分还是MBR启动方式。
|
|
|
|
|
|
|
|
|
|
|
|
求暗云三写MBR的EXE，楼主留下你的QQ号，或者加我的 457991 |
|
|
|
|
|
楼主怎么这么像乌云白帽子紫霞仙子啊
|
|
|
|
|
|
|
