能力值：
( LV9，RANK：260 )
|
-
-
2 楼
可能是该软件的驱动提供了136h号的SSDT函数.
需得注意SSDT是可以扩展的,杀毒软件等都喜欢在该表中填加一些项,为ring3到ring0中自己函数调用搭好一张桥.
|
能力值：
( LV9，RANK：260 )
|
-
-
3 楼
搭一张好桥...哈哈....
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
谢谢 suRbYmiR 大侠
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
还想问下我怎么才能看到136对应的是什么函数呢，我用Windbg 看SSDT 中136的地址是无效地址
|
能力值：
( LV9，RANK：260 )
|
-
-
6 楼
1.
感谢抬举,我不是什么大侠...哈哈..菜鸟一个.
2.如果是无效的地址,可能是该驱动没有加载吧.你可以试着先在虚拟机od,或者windbg断在int 2eh.然后使用windbg来d KeServiceDescriptorTable...然后加上偏移量查看具体位置.然后根据该地址查找到相应的驱动文件.
3.当然需得注意可能不是这个原因.你这个问题有很多种的可能性.你自己可以具体分析.查找一些资料.
----
求人不如求已嘛...嘿嘿.
|
|
|
|
