咨询一下安全软件用驱动类型

显示全部楼层 · 发表于 2012-8-29 11:56:26

现在安全厂商使用的内核驱动，哪种挂钩形式比较先进，如果一个安全厂商使用的驱动里面采用shutdown回调的检测，这个怎么样？

显示全部楼层 · 发表于 2012-8-29 12:13:19

表示不懂顶一下吧

国内几家好像都不一样

显示全部楼层 · 发表于 2012-8-29 12:24:13

什么叫驱动类型？NT驱动？WDM驱动？？

showdown回调？你确定那是做拦截到？？？

拦截一般分为HOOK和filter，callback。。，后面的两个是微软推荐的，但是在NT5上不好做，hook在X64上不好使，所以一般TA门都是三者全用的。

拦截没有什么先进不先进的，越底层越不稳定，问题越多，关键是拦截后的逻辑处理

显示全部楼层 · 发表于 2012-8-29 12:25:06

MagicFuzzX 发表于 2012-8-29 12:24
什么叫驱动类型？NT驱动？WDM驱动？？

showdown回调？你确定那是做拦截到？？？

我就是不太懂，我传那个为什么金山和360采用的机制不一样

显示全部楼层 · 发表于 2012-8-29 12:26:23

Flameocean 发表于 2012-8-29 12:25
我就是不太懂，我传那个为什么金山和360采用的机制不一样

大家都一样的，你截图的那个不是关键

显示全部楼层 · 发表于 2012-8-29 12:38:20

MagicFuzzX 发表于 2012-8-29 12:24
什么叫驱动类型？NT驱动？WDM驱动？？

showdown回调？你确定那是做拦截到？？？

NT5的话HOOK更好做？

显示全部楼层 · 发表于 2012-8-29 13:53:42

方法无所谓，关键是稳定性，兼容性，对抗性。

显示全部楼层 · 发表于 2012-8-29 14:14:12

wowocock 发表于 2012-8-29 06:53
方法无所谓，关键是稳定性，兼容性，对抗性。

请问大牛是否filter方式效率更好所以微软才推荐使用的？

显示全部楼层 · 发表于 2012-8-29 17:19:55

不知道这是剑发表于 2012-8-29 12:38
NT5的话HOOK更好做？

NT5有些callback只能收到消息，但是不能修改参数（阻止）

显示全部楼层 · 发表于 2012-8-29 17:25:49

小白没听懂

[求助] 咨询一下安全软件用驱动类型

本帖子中包含更多资源