首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 看雪社区
  2. 4)腾讯公司2008软件安全竞赛
    3. 发新帖
[讨论]
2008-11-1 10:30 2895

[讨论]

ccfer 活跃值
16
2008-11-1 10:30
2895
分析文档：
分析.txt

[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。

上传的附件：
收藏
点赞・0
打赏
分享
最新回复 (7)
ccfer
雪    币： 8188
活跃值： (4243)
能力值： ( LV15，RANK：2459 )
在线值：
发帖
回帖
粉丝
私信
ccfer 16 2008-11-1 10:44
2 楼
0
用SendMessage关掉system.exe
用IoControlCode=0x22E00F关掉驱动的文件保护
提权到DebugPrivilege
用DuplicateHandle带DUPLICATE_CLOSE_SOURCE参数，把system进程中的占用句柄关闭
挂起HBKernel32.sys模块中的守护线程
恢复注册表
删除文件

src&bin:
r3_01.rar
上传的附件：
ccfer
雪    币： 8188
活跃值： (4243)
能力值： ( LV15，RANK：2459 )
在线值：
发帖
回帖
粉丝
私信
ccfer 16 2008-11-1 10:56
3 楼
0
发送WM_QUERYENDSESSION消息到HBInject32窗口，关掉system.exe
用IoControlCode=0x22E00F关掉驱动的文件保护
提权到DebugPrivilege
用DuplicateHandle带DUPLICATE_CLOSE_SOURCE参数，把system进程中的占用句柄关闭
用自己写的驱动patch HBKernel32.sys模块中的线程函数，使线程自行退出
恢复注册表
删除文件

src&bin:
r0_01.rar
上传的附件：
ccfer
雪    币： 8188
活跃值： (4243)
能力值： ( LV15，RANK：2459 )
在线值：
发帖
回帖
粉丝
私信
ccfer 16 2008-11-1 12:33
4 楼
0
发送WM_QUERYENDSESSION消息到HBInject32窗口，关掉system.exe
用自己写的驱动patch HBKernel32.sys模块中的线程函数，使线程自行退出,线程退出时会自行恢复hook的
恢复注册表
删除文件

src&bin:
r0_02.rar
上传的附件：
ccfer
雪    币： 8188
活跃值： (4243)
能力值： ( LV15，RANK：2459 )
在线值：
发帖
回帖
粉丝
私信
ccfer 16 2008-11-1 16:03
5 楼
0
RAW模式打开volume，并按cluster来操作,把sys文件清空
然后重启删除残余文件,清理注册表

src&bin:
ccfer
雪    币： 8188
活跃值： (4243)
能力值： ( LV15，RANK：2459 )
在线值：
发帖
回帖
粉丝
私信
ccfer 16 2008-11-1 16:06
6 楼
0
上一楼附件怎么无效连接了?
重新传一个
src&bin:
r3_02.rar
上传的附件：
kangaroo
雪    币： 264
活跃值： (30)
能力值： ( LV12，RANK：250 )
在线值：
发帖
回帖
粉丝
私信
kangaroo 6 2008-11-11 23:12
7 楼
0
基础分:90分
ring3加20分
ring0加15分，由于简化版原理基本一样，所以少加5分

文档加10分

文件清除部份加5分

最终得分140分
ccfer
雪    币： 8188
活跃值： (4243)
能力值： ( LV15，RANK：2459 )
在线值：
发帖
回帖
粉丝
私信
ccfer 16 2008-11-12 10:24
8 楼
0
大于我的期望值,自己的目标是120分
游客
登录 | 注册 方可回帖
　回帖　 表情 雪币赚取及消费
高级回复
返回