-
-
[原创]---驱动调试——挫败 QQ.EXE 的内核模式保护机制（part I）---
-
发表于: 2018-5-3 20:37
-
|
|
|---|---|
|
|
|
|
|
硬件抽象层（HAL）比这更 underlying，当然，最 underlying 的莫过于运行在 “裸机” 上的 16 位实模式程序，此刻 OS 甚至都还没有被载入 RAM 呢！ |
|
|
|
|
|
|
|
|
那是不是对windows10也可以在没有引导的时候就开始注入修改？ |
|
|
理论上这对于任何操作系统都可行。 事实上·，这就是· bootkit 的机理，它将磁盘上原来合法的 MBR（由OS安装程序写入0号扇区） ，修改为 bootkit 的加载器，抢在内核前向内存注入恶意代码，实现更好的隐蔽性，完成它肮脏的事情后，再将控制转移到原来的前512字节MBR代码，好像啥事都没发生一样。一些BIOS 或UEFI bootkit 甚至就驻留在那些非易失性存储器的 ROM 中，借此绕过磁盘取证分析。 |
|
|
|
|
|
|
|
|
也是参考一些网上先驱们的文章再加以改进而成的，站在巨人肩上看得更远 |
kongfubull
