首页
社区
课程
招聘
扫内核钩子是越来越吃力不讨好了
发表于: 2020-10-13 13:06 5035

扫内核钩子是越来越吃力不讨好了

2020-10-13 13:06
5035

如题,win8.1 UPDATE3引入的CFG,win10 1607预览版引入的DynamicRelocations,1703预览版引入的RFG,1903正式版引入的retpoline,以及还没完全推广的XFG(魔改版CFG),这些通通能在内核模块完成修复导入表重定位等工作后动态patch模块的代码段。PCHunter的作者自从Win10出来后扫内核的功能基本没有考虑这些动态patch,仍然是简单的把内存映像和硬盘文件比较,就拿最新版1.57来说,扫描1903的内核钩子多达20万个,结果一看大部分都是微软放飞自我的retpoline


[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 1
支持
分享
最新回复 (5)
雪    币: 12857
活跃值: (9172)
能力值: ( LV9,RANK:280 )
在线值:
发帖
回帖
粉丝
2
在boot阶段记录ntos的完整dump,后面直接对比dump就好了
2020-10-13 13:50
0
雪    币: 12512
活跃值: (6019)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
3
hzqst 在boot阶段记录ntos的完整dump,后面直接对比dump就好了

就是说需要boot load? 哪个阶段是正好卡在动态patch之后的?

最后于 2020-10-13 14:01 被hhkqqs编辑 ,原因:
2020-10-13 13:55
0
雪    币: 12857
活跃值: (9172)
能力值: ( LV9,RANK:280 )
在线值:
发帖
回帖
粉丝
4
hhkqqs hzqst 在boot阶段记录ntos的完整dump,后面直接对比dump就好了 就是说需要boot load? 哪个阶段是 ...
加载boot类型驱动的阶段ntos已经patch完了
2020-10-13 14:20
0
雪    币: 12512
活跃值: (6019)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
5
hzqst 加载boot类型驱动的阶段ntos已经patch完了
感谢,确实是个好方法。不过要是还想扫其他模块就有点吃力了,我能想到的只有暴力定位这5种动态patch的全局表,没准咖喱一个更新就失效了
2020-10-13 14:39
0
雪    币: 5039
活跃值: (2646)
能力值: ( LV12,RANK:290 )
在线值:
发帖
回帖
粉丝
6
win10扫内核钩子确实有点吃力不讨好,各种patch我已经弃坑了
2020-10-25 11:29
0
游客
登录 | 注册 方可回帖
返回
//