[求助]游戏驱动保护NtOpenProcess-付费问答-看雪-安全社区|安全招聘|kanxue.com

最新回复 (7)
fixfix 雪币： 419 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 21 回帖 671 粉丝 0 关注私信	fixfix 2 楼我只能说，还不如好好看UNPACK那代码 2009-3-22 19:38 0
exetxt 雪币： 41 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 20 粉丝 0 关注私信	exetxt 3 楼那个是针对外挂的。对于我研究的rootkit 来说没比较大的意义。。。我想要的是能够治标的 2009-3-22 20:28 0
fixfix 雪币： 419 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 21 回帖 671 粉丝 0 关注私信	fixfix 4 楼看你在UNPACK那么激动，有兴趣，我还不信你只是研究 rootkit 的建议你去逆向 softice 那驱动那个好玩很 2009-3-22 21:13 0
exetxt 雪币： 41 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 20 粉丝 0 关注私信	exetxt 5 楼恩。。。研究研究了。。。可是毕竟汇编不是我的专长。。。只能看的懂原理。没办法做延伸发展。。。我在改写NtOpenProcess。将函数跳到他后面。可是发现这一跳就蓝掉。。。而在前15个字节跳却没事！！很郁闷啊！我在想那个ObOpenObjectByPointer的跳转是怎么样做？是把ObOpenObjectByPointer的地址改成别的地址么？跟SSDT HOOK一样 2009-3-22 21:34 0
fixfix 雪币： 419 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 21 回帖 671 粉丝 0 关注私信	fixfix 6 楼先获取 NtOpenProcess 地址在获取 ObOpenObjectByPointer 地址然后在 NtOpenProcess 搜索 E8 如果是E8 在比较后面4的指令是不是 CALL 到 ObOpenObjectByPointer的 TX 就是这样HOOK的 2009-3-22 21:45 0
exetxt 雪币： 41 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 20 粉丝 0 关注私信	exetxt 7 楼知道他是怎么做的。。知道他在哪动的手脚。可是却没解决的办法。。。很尴尬啊。。。就像明明知道自己没穿裤子。可是却找不到裤子可以穿一样有没高手出来指点一二？ 2009-3-22 22:53 0
fixfix 雪币： 419 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 21 回帖 671 粉丝 0 关注私信	fixfix 8 楼 softice bpm XXXXXXXX 2009-3-23 07:27 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (7)
fixfix 雪币： 419 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 21 回帖 671 粉丝 0 关注私信	fixfix 2 楼我只能说，还不如好好看UNPACK那代码 2009-3-22 19:38 0
exetxt 雪币： 41 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 20 粉丝 0 关注私信	exetxt 3 楼那个是针对外挂的。对于我研究的rootkit 来说没比较大的意义。。。我想要的是能够治标的 2009-3-22 20:28 0
fixfix 雪币： 419 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 21 回帖 671 粉丝 0 关注私信	fixfix 4 楼看你在UNPACK那么激动，有兴趣，我还不信你只是研究 rootkit 的建议你去逆向 softice 那驱动那个好玩很 2009-3-22 21:13 0
exetxt 雪币： 41 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 20 粉丝 0 关注私信	exetxt 5 楼恩。。。研究研究了。。。可是毕竟汇编不是我的专长。。。只能看的懂原理。没办法做延伸发展。。。我在改写NtOpenProcess。将函数跳到他后面。可是发现这一跳就蓝掉。。。而在前15个字节跳却没事！！很郁闷啊！我在想那个ObOpenObjectByPointer的跳转是怎么样做？是把ObOpenObjectByPointer的地址改成别的地址么？跟SSDT HOOK一样 2009-3-22 21:34 0
fixfix 雪币： 419 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 21 回帖 671 粉丝 0 关注私信	fixfix 6 楼先获取 NtOpenProcess 地址在获取 ObOpenObjectByPointer 地址然后在 NtOpenProcess 搜索 E8 如果是E8 在比较后面4的指令是不是 CALL 到 ObOpenObjectByPointer的 TX 就是这样HOOK的 2009-3-22 21:45 0
exetxt 雪币： 41 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 20 粉丝 0 关注私信	exetxt 7 楼知道他是怎么做的。。知道他在哪动的手脚。可是却没解决的办法。。。很尴尬啊。。。就像明明知道自己没穿裤子。可是却找不到裤子可以穿一样有没高手出来指点一二？ 2009-3-22 22:53 0
fixfix 雪币： 419 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 21 回帖 671 粉丝 0 关注私信	fixfix 8 楼 softice bpm XXXXXXXX 2009-3-23 07:27 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

[旧帖] [求助]游戏驱动保护NtOpenProcess 0.00雪花