咨询一下安全软件用驱动类型

显示全部楼层 · 发表于 2012-8-29 18:19:04

wowocock 发表于 2012-8-29 13:53
方法无所谓，关键是稳定性，兼容性，对抗性。

感谢大哥的介绍，能不能再详细一点

显示全部楼层 · 发表于 2012-8-29 19:40:42

这个不懂呢

显示全部楼层 · 发表于 2012-8-29 22:30:07

关注此贴，学到了不少

显示全部楼层 · 发表于 2012-8-30 16:45:48

MagicFuzzX 发表于 2012-8-29 17:19
NT5有些callback只能收到消息，但是不能修改参数（阻止）

callback 比如进程的创建消息当你得到消息的时候已经创建完了..

显示全部楼层 · 发表于 2012-8-30 17:36:08

zhq445078388 发表于 2012-8-30 16:45
callback 比如进程的创建消息当你得到消息的时候已经创建完了..

可以在callback中patch进程oep，有些驱动防火墙就是在LoadImage Callback里面这么做的

显示全部楼层 · 发表于 2012-8-30 17:36:45

MagicFuzzX 发表于 2012-8-30 17:36
可以在callback中patch进程eop

工程量比直接hook ntcreateprocess大太多了

显示全部楼层 · 发表于 2012-8-30 17:38:00

zhq445078388 发表于 2012-8-30 17:36
工程量比直接hook ntcreateprocess大太多了

这个是的。。。话说亲回复的太快了。。

显示全部楼层 · 发表于 2012-8-30 17:52:34

MagicFuzzX 发表于 2012-8-30 17:38
这个是的。。。话说亲回复的太快了。。

额快就对了

显示全部楼层 · 发表于 2012-8-30 17:57:09

MagicFuzzX 发表于 2012-8-30 17:36
可以在callback中patch进程oep，有些驱动防火墙就是在LoadImage Callback里面这么做的

loadimage这么干?
我都是直接填0来干的哇咔咔

显示全部楼层 · 发表于 2012-8-30 18:09:53

不太懂，等大手解答

[求助] 咨询一下安全软件用驱动类型