-
-
[求助]如何控制内核线程 监视与暂停
-
发表于:
2009-2-21 11:01
6279
-
最近在研究TesSafe.sys。自己写了驱动，先备份好被hook的函数。然后还原。
还原完后。不管做什么。电脑就得启了。原来是。TesSafe.sys还有一个内核监视线程。
问大各位。怎么才能暂停或者停止这个内核级的线程。不让他生启。
修复的方法
NtOpenProcess与NtOpenThread调用ObOpenObjectByPointer被hook
找到hook的地址。直接跳到 ObOpenObjectByPointer
KiAttachProcess函数头被改为mov eax,dword jmp eax
取得这个dword, 写入原函数的9个字节并 改为跳到 KiAttachProcess+9
NtReadVirtualMemory与NtWriteVirtualMemory 函数头被改为mov eax,dword jmp eax
取得这个dword,写入原函数的7个字节并 改为跳到 NtReadVirtualMemory+7 与NtWriteVirtualMemory +7
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
