[原创]某预启动对漏驱驱动加载方式的拦截及绕过思路-编程技术-看雪安全社区

__Shinn

雪币： 2798

活跃值： (1590)

能力值：

( LV7，RANK：100 )

在线值：

发帖

4

回帖

77

粉丝

86

关注

私信

__Shinn 2: 101 楼

wowocock IAT hook有很多问题，以前卡巴干过，后来因为兼容性问题太多，放弃了。

感谢楼主分享，另外wowocock师傅说得对，内核IAT Hook在实际工程中有问题：
1. 内核驱动中能索引到导入地址表的那部分结构一般会被释放掉，所以不能像R3下大胆解析PE结构定位IAT
2. 外网用户的内核环境是非常复杂的，甚至可能存在多重IAT Hook的情况，所以厂商一般选择灰度发布版本

2天前

2

mb_tnubvfle

雪币：

能力值：

( LV1，RANK：0 )

在线值：

发帖

0

回帖

1

粉丝

0

关注

私信

mb_tnubvfle: 102 楼

1

2天前

0

Wh1tebird

雪币： 141

能力值：

( LV1，RANK：0 )

在线值：

发帖

0

回帖

14

粉丝

0

关注

私信

Wh1tebird: 103 楼

学习

2天前

0

JLkt45

雪币： 220

活跃值： (686)

能力值：

( LV2，RANK：10 )

在线值：

发帖

0

回帖

20

粉丝

0

关注

私信

JLkt45: 104 楼

学习一下

19小时前

0

wx_漫步

雪币： 13

活跃值： (60)

能力值：

( LV2，RANK：10 )

在线值：

发帖

0

回帖

3

粉丝

0

关注

私信

wx_漫步: 105 楼

666

13小时前

0

Lnatano

雪币： 0

能力值：

( LV1，RANK：0 )

在线值：

发帖

0

回帖

7

粉丝

0

关注

私信

Lnatano: 106 楼

666

2小时前

0

__Shinn 雪币： 2798 活跃值： (1590) 能力值： ( LV7，RANK：100 ) 在线值：发帖 4 回帖 77 粉丝 86 关注私信	__Shinn 2 101 楼 wowocock IAT hook有很多问题，以前卡巴干过，后来因为兼容性问题太多，放弃了。感谢楼主分享，另外wowocock师傅说得对，内核IAT Hook在实际工程中有问题： 1. 内核驱动中能索引到导入地址表的那部分结构一般会被释放掉，所以不能像R3下大胆解析PE结构定位IAT 2. 外网用户的内核环境是非常复杂的，甚至可能存在多重IAT Hook的情况，所以厂商一般选择灰度发布版本 2天前 2
mb_tnubvfle 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_tnubvfle 102 楼 1 2天前 0
Wh1tebird 雪币： 141 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	Wh1tebird 103 楼学习 2天前 0
JLkt45 雪币： 220 活跃值： (686) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 20 粉丝 0 关注私信	JLkt45 104 楼学习一下 19小时前 0
wx_漫步雪币： 13 活跃值： (60) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	wx_漫步 105 楼 666 13小时前 0
Lnatano 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 7 粉丝 0 关注私信	Lnatano 106 楼 666 2小时前 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复