2012 是不是不採用 SSDT hooks 呢？

显示全部楼层 · 发表于 2011-6-26 19:37:33

李白vs苏轼发表于 2011-6-26 19:32
这个点难以恢复的就是有一个判断的过程，需要搜索特征一样的匹配，若有一点没有操作好，就是蓝屏
不像 ...

还有, 恢复inline hook 也是很简单滴, 看下我今天刚写的文章吧http://hi.baidu.com/hu3167343/bl ... b3cf9fc817684c.html

显示全部楼层 · 发表于 2011-6-26 19:40:03

本帖最后由 a256886572008 于 2011-6-26 19:40 编辑

想這麼複雜作什麼，未知進程不給高權限，它們就不能恢復SSDT hooks 了呀

這就是為何要有主防的原因。

显示全部楼层 · 发表于 2011-6-26 19:44:14

本帖最后由李白vs苏轼于 2011-6-26 19:44 编辑

hu3167343 发表于 2011-6-26 19:37
还有, 恢复inline hook 也是很简单滴, 看下我今天刚写的文章吧http://hi.baidu.com/hu3167343/blog/item/ ...

简单与否的点在于别人应用的门槛高低，以及你这个功能的调用容易程度和是否有现成的调用模块

显示全部楼层 · 发表于 2011-6-26 19:46:21

a256886572008 发表于 2011-6-26 19:40
想這麼複雜作什麼，未知進程不給高權限，它們就不能恢復SSDT hooks 了呀

這就是為何要有主防 ...

既然是未知进程，干嘛还让他加载和运行？

显示全部楼层 · 发表于 2011-6-26 20:10:17

李白vs苏轼发表于 2011-6-26 19:46
既然是未知进程，干嘛还让他加载和运行？

送到雲端鑑定的空窗期，就是會有人雙擊運行，這就只能看主防了。

显示全部楼层 · 发表于 2011-6-26 20:54:27

本帖最后由 qwe12301 于 2011-6-26 20:58 编辑

我去，这都多久的事情。2011版本几乎一开始就这样了，你要是说2009版这样那还有点新鲜。

毒霸2012防御和2011毫无二致。

但是不同的是毒霸会继续维护2012版本的防御更新，至于2011肯定过了生命周期就停止更新了。

目前的驱动更新速度不及2011，那是因为测试版。

显示全部楼层 · 发表于 2011-6-26 23:19:11

学习了

显示全部楼层 · 发表于 2011-6-26 23:24:46

求科普。

显示全部楼层 · 发表于 2011-6-26 23:30:22

本帖最后由 xifanwoai 于 2011-6-26 23:31 编辑

没挂ssdt
挂钩的 KifastCallEntry
替换系统的ssdt

显示全部楼层 · 发表于 2011-6-26 23:38:34

不懂。。。进来学习一下

[金山] 2012 是不是 不採用 SSDT hooks 呢？

[金山] 2012 是不是不採用 SSDT hooks 呢？