-
-
[讨论]IceSword 的隐藏进程检测技术
-
发表于: 2008-3-22 18:45
-
最近学习句柄的一些底层原理,想做个隐藏进程的驱动
断了EPROCESS和HandleTable链,抹了PspCidTable和csrss.exe的句柄表,但还是会被IceSword和RKU检测到,就想问下各位大牛了,它到底是通过什么检测隐藏进程的?
先谢过.
断了EPROCESS和HandleTable链,抹了PspCidTable和csrss.exe的句柄表,但还是会被IceSword和RKU检测到,就想问下各位大牛了,它到底是通过什么检测隐藏进程的?
先谢过.
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
晕死,貌似不是KiSwapContext
没开IceSword的: lkd> u KiSwapContext nt!KiSwapContext: 80541bd4 83ec10 sub esp,10h 80541bd7 895c240c mov dword ptr [esp+0Ch],ebx 80541bdb 89742408 mov dword ptr [esp+8],esi 80541bdf 897c2404 mov dword ptr [esp+4],edi 80541be3 892c24 mov dword ptr [esp],ebp 80541be6 8b1d1cf0dfff mov ebx,dword ptr ds:[0FFDFF01Ch] 80541bec 8bf1 mov esi,ecx 80541bee 8bbb24010000 mov edi,dword ptr [ebx+124h] 开了IceSword: lkd> u KiSwapContext nt!KiSwapContext: 80541bd4 83ec10 sub esp,10h 80541bd7 895c240c mov dword ptr [esp+0Ch],ebx 80541bdb 89742408 mov dword ptr [esp+8],esi 80541bdf 897c2404 mov dword ptr [esp+4],edi 80541be3 892c24 mov dword ptr [esp],ebp 80541be6 8b1d1cf0dfff mov ebx,dword ptr ds:[0FFDFF01Ch] 80541bec 8bf1 mov esi,ecx 80541bee 8bbb24010000 mov edi,dword ptr [ebx+124h]
|
|
|
这个问题，05年底的时候驱动论坛上就搞过挑战赛，是请pjf当裁判的，最后好像没有非常好的方法。其实就是有好方法，pjf完全可以在下一版升级啊。
没有最牛，只有更牛啊！
|
|
|
|
|
|
V大的Page Hook 大法
|
|
|
|
|
|
V大没爆料，偶也不晓得啊
|
|
|
|
|
|
那到底是怎么个改法,大牛能否说下,
|
|
|
好像不是,我Hook了NtLoadDriver,禁止了IceSword驱动的加载
但是还能列出我用上面的方法隐藏的进程,郁闷了... 还希望各位大牛指点一二 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
