浅谈HOOK API 都是一些很老很基础的东西 （当然，大牛们可以无视直接PASS！）

zhq445078388

wowocock 发表于 2011-11-27 13:32
X64下微软已经提供了标准的接口给杀软。无需象32位下那样的群魔乱舞了。

木有看到有档案啊。。
是公开的标准接口么？

MagicFuzzX

z13667152750 发表于 2011-11-27 13:38
call

http://hi.baidu.com/_achillis/bl ... 0d9082d53f7c64.html

教主已经写了，这种然道不是ssdt？？深入一点而已

MagicFuzzX

zhq445078388 发表于 2011-11-27 13:39
木有看到有档案啊。。
是公开的标准接口么？

微软推荐的都是callback之类的。。内核代码可是不让你随便修改的，当然通知你是可以的~~

z13667152750

MagicFuzzX 发表于 2011-11-27 13:40
http://hi.baidu.com/_achillis/blog/item/1051ec023c0d9082d53f7c64.html

教主已经写了，这种然道不是 ...

不是

wowocock

FSD 采用 MINIFILTER   注册表 CM CALLBACK  模块LOADIMAGE CALLBACK   ,进程 PROCESS  CALLBACK ,线程THREAD CALLBACK
对象OBJECT CALLBACK，基本涵盖了所有的东西。当然WIN32K的没有，但你可以去INLINE HOOK .网开一面，没在PATCHGUARD里。
但进程隐藏类似的 DKOM不行，会触发 PATCH GUARD.第3方的驱动也暂时没纳入保护列表。但不排除以后可能会加入的可能。

MagicFuzzX

z13667152750 发表于 2011-11-27 13:45
不是

好吧，大家叫法不一样。

jefffire

MagicFuzzX 发表于 2011-11-27 13:37
360 X86不是ssdt hook？？你搞笑了，你以为xuetr看不到就不是了啊，360 X86的hook技术可是经典案例，某山 ...

谁说Xuetr看不到的？

MagicFuzzX

wowocock 发表于 2011-11-27 13:46
FSD 采用 MINIFILTER   注册表 CM CALLBACK  模块LOADIMAGE CALLBACK   ,进程 PROCESS  CALLBACK ,线程THRE ...

大肉鸡师傅，360 的hook KiFastCallEntry本质上还是SSDT hook吧

MagicFuzzX

jefffire 发表于 2011-11-27 13:49
谁说Xuetr看不到的？

我说的是看不到直接哪个函数被钩。。。

wowocock

MagicFuzzX 发表于 2011-11-27 13:49
大肉鸡师傅，360 的hook KiFastCallEntry本质上还是SSDT hook吧

对，只不过一个INLINE HOOK 就可以覆盖整个SSDT和SHADOW表。而且避免了和其他杀软冲突的可能，而且在其他杀软前获得处理。所以效果比较好。但处理机制还是一样的。