【2012.07.24更新】内核保护进程 + 结束进程

显示全部楼层 · 发表于 2012-6-27 16:09:27

本帖最后由 zhq445078388 于 2012-6-27 16:15 编辑

zhoufeng 发表于 2012-6-27 15:38
ok. dump文件传上来了，驱动不能启动一点就蓝屏。

原因找到了
QQProtect驱动程序也hook了创建线程这里是用的e9的jmp
我在保存原本函数时实际保存到的是qq的这个jmp过程而e9的跳在变了位置时候必须改地址不改地址就会跳到指不定哪里去..
现在看起来是跳到qq这个驱动的31763地址去了而QQ这个驱动显然不会这么大哈.3mb多所以就跳空了造成蓝屏

当然也有可能是qq是ssdt hook..所以保存5字节的方式不可行

显示全部楼层 · 发表于 2012-6-27 16:20:10

敬仰敬仰

显示全部楼层 · 发表于 2012-6-27 17:47:58

zhq445078388 发表于 2012-6-27 16:09
原因找到了
QQProtect驱动程序也hook了创建线程这里是用的e9的jmp
我在保存原本函数时实际保存到的 ...

那可以修复一下么不然加载qq驱动的机子都没法用啊

显示全部楼层 · 发表于 2012-6-27 17:50:32

zhoufeng 发表于 2012-6-27 17:47
那可以修复一下么不然加载qq驱动的机子都没法用啊

看来下个版本优先解决智能hook的问题好了

显示全部楼层 · 发表于 2012-6-27 18:02:36

zhq445078388 发表于 2012-6-27 17:50
看来下个版本优先解决智能hook的问题好了

嗯期待更新

显示全部楼层 · 发表于 2012-6-30 00:01:44

楼主加油

显示全部楼层 · 发表于 2012-6-30 08:23:59

支持技术牛

显示全部楼层 · 发表于 2012-6-30 14:50:47

zhoufeng 发表于 2012-6-27 18:02
嗯期待更新

抱歉跳票了刚更新了hook方法。。我突发奇想把ssdt hook去掉了3个改成深层hook。。现在还木完成

显示全部楼层 · 发表于 2012-7-3 14:35:45

zhoufeng 发表于 2012-6-27 17:47
那可以修复一下么不然加载qq驱动的机子都没法用啊

已经OK 这次更新加入了动态hook

显示全部楼层 · 发表于 2012-7-3 19:17:34

特地来看看

[原创工具] 【2012.07.24更新】内核 保护进程 + 结束进程

[原创工具] 【2012.07.24更新】内核保护进程 + 结束进程