-
-
[讨论]学习驱动时发现360的注册表HOOK
-
发表于:
2009-6-20 08:46
6667
-
学习用KmdKit编注册表操作驱动程序时，想增加个"\Registry\Machine\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe"健，但始终不成功，用IcesWord以及狙剑没发现有SSDT HOOK，想到可能是直接修改了ZwCreateKey函数开头几个字，找来找去发现开头没被改动呀，但怎么会跳到safeboxnel驱动中的呢？在虚拟机中用ice单步到ZwCreateKey内部，终于找到点情况,在进入ZwCreateKey调用后约50行代码处有如下代码：
8053da0e: mov ebx,[eax*4+edi]
sub esp,ecx
shr ecx,02
被替换为：
8053da0e: mov ebx,[eax*4+edi]
jmp faXXXXXXh==>进入360的注册表HOOK
改过来的，可以成功对"\Registry\Machine\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe"健创建。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
