-
-
[原创]某企鹅xxx-base分析
-
发表于: 2021-12-25 13:45
-
系统回调注册：
快乐周末开始了
这里样本会选择将系统回调拿到的信息先放到全局然后KeSetEvent通知其他地方处理
系统回调部分基本都是一些常规操作，所以这里就不赘述了。
快也搜这个创建线程
1.线程创建部分
用ark观察有3个线程的起始地址为SeSetAuditParameter函数内部的jmp rcx，
初始化线程地址：在SeSetAuditParameter内部搜0xff 0xe1
这里具体也可以参考大表哥的帖子，我按表哥帖子，结果发现那部分代码已经被vm了。
g_StartRoutineHid0内容：
g_StartRoutineHid1内容：
g_StartRoutineHid2内容：
你怎么遍历我怎么遍历
这个是在线程里边的
这个是3环接口使用的
我就查一下怎么了
回调接口部分的校验：
驱动的接口函数
理论上还是不要偷它回调了，虽然楼主试过了。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
你们可做个人吧。。。
|
|
|
|
|
|
|
|
|
最后一个图是什么工具？？ |
|
|
大蜘蛛的沙箱，好像得企业申请，有人给这一类上传到大蜘蛛沙箱去了，所以vt那里能看到大蜘蛛沙箱的结果 |
|
|
 配图怪。图片比文章有意思了，这样可不行呀，老铁。
|
|
|
|
|
|
 懂了 马上去看其他驱动
|
|
|
快 给我点表情包 快用完了 |
|
|
老铁 我也不知道写啥子 但是代码很清楚了 |
|
|
元神牛逼 |
|
|
牛逼 |
|
|
|
|
|
危  楼主最好做个人
|
|
|
|
|
|
菜鸟向大佬学习,好多都看不懂哇
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
hixhi
