【承诺帖之一】驭龙的困惑，迷雾重重的Norton驱动技术，我已困惑N年

驭龙

尘梦幽然 发表于 2014-2-19 23:38
对于你的这个问题，，官方目前的回答如下：
“我倒是也见过DLL之外的其他文件加载到Svchost.exe进程的， ...

我就说官方不会说实话吧，哈哈

zke2132

学习一下。。。。。。

jpzy

驭龙 发表于 2013-12-26 13:03
你可以去诺顿的特征库就可以看到navex15引擎驱动。至于意义，驱动引擎的强度必然比DLL的高，而且层次也不 ...

过去有个HIPS，叫做OSSS，是个俄罗斯团队做的！
这个HIPS的所有功能全都在sys里面，第一版我记得安装出来就2，3个文件，一个sys扔系统文件夹了，剩下就是托盘图标和一个UI的exe！
OSSS做到后期甚至接管了启动，每次启动XP，都是先看到OSSS的启动界面，然后才是XP的那个启动界面。官方甚至宣称，他们可以做到在启动阶段弹窗……

驭龙

jpzy 发表于 2014-2-20 23:50
过去有个HIPS，叫做OSSS，是个俄罗斯团队做的！
这个HIPS的所有功能全都在sys里面，第一版我记得安装出 ...

这个这么恨啊，可惜我没玩过，有一点遗憾了

jpzy

驭龙 发表于 2014-2-21 07:43
这个这么恨啊，可惜我没玩过，有一点遗憾了

http://bbs.kafan.cn/thread-457248-1-1.html
kan 1#

badguoyiwe

大神们的讨论都好高端啊。

尘梦幽然

驭龙 发表于 2014-2-20 07:24
我就说官方不会说实话吧，哈哈

看到近期有一个新解释：

你看到的这个Svchost (PID: 776) “代{过}{滤}理”了安全中心服务和windows的Eventlog服务。
默认情况下，通过ProcEX用find寻找到的文件handle，就算是驱动，也就是休眠，虚拟内存，.drv之类的驱动。
然后你去windows日志，查询.sys驱动相关日志，但不要关闭窗口。
回头来看procex，用find查询，就能看到很多.sys驱动。
当然，查看时候很多项目被锁死，不见得都会显示在lower pane， 但是你所看到的众多.sys项目是“属于”PID:776的那个Svchost的。
这不是注入，只是单纯的file handle。
不知您是否赞同我的观点。

驭龙

尘梦幽然 发表于 2014-3-21 11:25
看到近期有一个新解释：

当时根本没有开启过日志

zg4612654

看来是掌握了核心科技

真水吾相

1.“……诺顿的驱动防御点非常丰富,而且连AV的查杀引擎都驱动化了……”


如此巨大的程序在小笔记本上运行，并让我能接受它。（个人没觉得卡。）
也算是对这话的理解之一吧？

2.“……去看看国内驱动的大小，再看看国外的驱动大小……”
这让我等一直用国内某品牌电脑，且一直在其官网下载驱动的弱弱情何以堪？

3.绝无断章取义之意，如有不妥，请谅解，谢谢！