-
-
[旧帖]
[求助]如何dump系统内存里的sys文件？
0.00雪花
-
发表于:
2009-5-31 17:37
4221
-
[旧帖] [求助]如何dump系统内存里的sys文件？
0.00雪花
请高手帮忙了，我是个前进中的菜鸟了，现在在学免杀，这几天发现机子系统有点问题，就查了查，用iceword一看，乖乖，有一个可疑的sys驱动hook了ssdt里的以下几个函数：
NTOpenKey, ZWOpenkey
NTEnumerateKey, ZWEnumerateKey,
NTQueruKey, ZWQueruKey
NTSetValueKey, ZWQueruKey
NTCreatKey, ZWCreatKey,
NTQueryValueKey, ZWQueryValueKey,
我刚开始以为是微点搞的那，我用的微点，但是我重起了一下系统，结果这个sys的名字换了，这就不对了，估计是木马，难道是传说的rootkit？我也不知道怎么找到这个sys在硬盘里的肉体，它每次名字不一样，而其用它显示的名字搜不到，我想把它找出来，等以后技术上期了，可以分析分析。od和loadpe是肯定不行的，有没有其它方法啊？盼高手指点。
先谢过。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
