-
-
未解决 [已解决]过PG进程保护驱动,可以防止R3读内存,隐藏进程不蓝屏,非VT,有兴趣的大神研究指点下
-
发表于: 2020-7-28 06:03
-
有一驱动加载后,保护自身进程,把自己伪装成为系统进程,用户组不显示,
无法结束进程(提示内存位置不正确),无法暂停进程,无法用R3函数读内存.
电脑未开启VT环境,用普通CE无法读取内存,用驱动检测没有创建回调保护句柄,句柄依然可以获得,权限未改,
使用经过处理的CE发现Kernel32.dll的PE头内存有显示,其他Kernel32.dll位置内存全显示??,(以前听有人说过,现在真的看见了),应该是部分模块地址有经过处理.不知道是否和EPROCESS有关,是否有设置全局钩子(应该没有),总觉得和R3某些东西有关系,但我没找到思路.驱动有VMP加壳检测虚拟机,我还没能过检测做双机调试.
驱动这里就不上传,影响不好(需要找我拿)...如果大神愿意搞,有尝研究.
还有另一隐藏R3进程的驱动,R3函数无法枚举被保护的进程,非VT,检测非断链,查看系统函数没有被HOOK,只看了头,支持W7W10x64所有系统且不蓝屏....,有待研究...
驱动均有VMP加壳检测虚拟机调试.
以上两个驱动还不知道是否有过PG,按理应该是没有(因为发现所有内核函数都可以读取正确数值,只有R3的不可以).有待测试....
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2020-8-2 14:42
被lwbkanxue编辑
，原因： 过PG、HOOK技术。
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
不是SKProtect 那些低级东西，没有改PId什么的。 |
|
|
|
|
|
|
|
|
inlinehook 没啥意思，几分钟就被PG拿下了 |
|
|
样本发来看看
|
|
|
|
|
|
2号样本发大表哥了，我账号今天发不了信息了，我是没能下断，要是能就看到了，1号总是不稳定，我觉得也和PG有关系了。 |
|
|
另外一个样本: ifhook挂了一些函数
最后于 2020-7-29 11:50
被xiaofu编辑
，原因：
|
|
|
|
|
|
这是啥版本的 windbg? |
|
|
|
hzqst
