-
-
[求助]监视windows服务创建的问题
-
发表于: 2009-9-24 11:39
-
病毒木马 经常采用创建服务的方式加载驱动sys 和 直接创建/修改系统服务加载dll，已达到恢复SSDT和随系统运行的目的 ， 这两种技术都用到了 系统服务的创建和修改API 如下：
OpenSCManager ，
CreateService，
OpenService，
StartService，
ControlService，
DeleteService，
ChangeServiceConfig
现在打算 通过 监视以上这些API 来达到防御病毒木马的目的。打算通过在hook ssdt的方式实现， 可是不知道应该hook ssdt中的哪些函数？？
还望给位大牛给点思路 指点一二
十分感谢~~
如果 ring0下不好实现 在ring3下有什么更好的方法可以监视系统服务的创建和修改？ 再次感谢~~
OpenSCManager ，
CreateService，
OpenService，
StartService，
ControlService，
DeleteService，
ChangeServiceConfig
现在打算 通过 监视以上这些API 来达到防御病毒木马的目的。打算通过在hook ssdt的方式实现， 可是不知道应该hook ssdt中的哪些函数？？
还望给位大牛给点思路 指点一二
十分感谢~~
如果 ring0下不好实现 在ring3下有什么更好的方法可以监视系统服务的创建和修改？ 再次感谢~~
|
|
|---|---|
|
|
|
|
|
|
|
|
天呐 这么麻烦呀
我还以为 会像hook ZwCreateFile那样 也钩个什么Zw函数就ok了呢  感谢 qihoocom 大牛对 偶问题的解答  3x |
|
|
|
|
|
|
|
|
|
|
|
刚刚开始ring0这块儿的编程 现在暂时还只会Hook SSDT
傷遺忘 兄的方法 找ZwLoadDriver和SCM调用的共通点 确实是非常不错的主意 很赞啊 以后会更加努力hook的 |
|
|
|
|
|
用NtRequestWaitReplyPort 翻了一下g.cn
个人感觉 qihoocom 所说的 “分析通讯协议” 应该指的就是 分析 此函数的第二个参数 IN PLPC_MESSAGE Request 吧 根据struct _LPC_MESSAGE 中的信息 判断 这次LPC请求的内容 是否为通知services.exe创建服务 不知 偶的理解考不靠谱儿 
|
|
|
|
|
|
|
|
|
|
