-
-
[求助]关于过瑞星和咔吧的HOOK!
-
发表于: 2007-10-28 14:38
-
瑞星HOOK了writeprocessmemory和createremotememory!
卡吧直接把地址给指向一个无效的地址!
不知道怎么过这两个东西!
我参考一些资料后的想法是:
复制一个ntdll.dll和kernell32.dll,然后加栽它,获取里面的API函数地址.
不知道这个办法行不行,请各位指点指点!
如果不行,有没有什么简单的办法可以解决这个问题
条件是:不停止卡吧或者瑞星的运行!
谢谢!
卡吧直接把地址给指向一个无效的地址!
不知道怎么过这两个东西!
我参考一些资料后的想法是:
复制一个ntdll.dll和kernell32.dll,然后加栽它,获取里面的API函数地址.
不知道这个办法行不行,请各位指点指点!
如果不行,有没有什么简单的办法可以解决这个问题
条件是:不停止卡吧或者瑞星的运行!
谢谢!
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
瑞星是怎么HOOK的?
 我可没HOOK! 
|
|
|
|
|
|
|
|
|
下面就sysenter了吧!
不进内核难道就没办法了 
|
|
|
|
|
|
跟IS一样,自己读取真实的ntoskrnl.exe中的内容, 重定位, 调用之, 每次调用前都检测并恢复一遍.
老虎,这个可以不?
|
|
|
这个显然不行的。
NtOpenThread就直接给返回False了。 其实为了读写内存 只要把自己的代码放进去执行 问题就解决了。 我卖弄一下哈： 从Section（不是PE那个哈 ，是windows kernel那个） 的角度出发。rootkit有相关文章。点到为止
|
|
|
http://www.rootkit.com/newsread.php?newsid=778
只找到这个.....
|
|
|
|
|
|
问题是对于主动防御的软件 早就把驱动加载 放到拦截的名单里面.
所以还是Ring3 方法比较实际 除非不是为了搞马.
|
|
|
|
|
|
|
|
|
|
|
|
Vxk?
|
|
|
|
|
|
看来,现在不学习驱动是不行的了!
|
|
|
 我也遇到了这样问题：我原先的程序用SendMessage和Key_event()都可以对IM软件操作的，而且是善意的操作，现在瑞星自做聪明，搞了个帐号保险柜，把IM保护起来，Hook了WM_GETMESSAGE和WM_KEYVBOARD消息，造成我现在的程序无法操作，不知有没有什么办法可以避开Hook？ |
|
|
|
|
|
楼上各位都是高人哪，不懂！！！
|
|
|
|
|
|
|
|
|
|
|
|
 通过对输入法程序的分析，我发现输入法的做法并没有过瑞星的Hook,只是用了WM_IME_CHAR消息对IM操作，这个瑞星好象没有Hook，用RootKit工具查看，发现瑞星是Hook SSDT中的NTUserSendInput和NtUserMessafeCall，这两个Hook使我的软件无法对聊天软件进行按键模拟输入和发消息给聊天程序，进入Ring0对其恢复应该可以防止被Hook,但是驱动我不熟，不知还有什么其他方法可以过瑞星的Hook？
|
