部分主流杀软驱动挂钩分析

显示全部楼层 · 发表于 2014-1-24 11:10:54

本帖最后由 shulun743 于 2014-1-24 12:27 编辑

主要说32位系统，手机码字，大伙将就看！
挂钩方式，现在常用的就是挂钩ssdt，shadown ssdt，inline hook
挂钩文件系统过滤驱动和HOOK NT！KiFastCallEntry！

不具体讨论HOOK和INLINE HOOK的区别了！就是蓝屏不蓝屏的问题！

主要讨论挂钩位置的问题：
分为两大阵营：
1、挂钩SSDT
最成熟，最常用的挂钩！代表是卡巴等绝大多数杀软就是采用这种位置挂钩！

2、HOOK NT！KiFastCallEntry！

代表是360和金山，目前为止唯一使用这个位置的就是上述两款！

欢迎大家拍砖，这两种方式的优劣！
到底是SSDT是发展方向？
还是HOOK NT！KiFastCallEntry！是未来的天下呢？

显示全部楼层 · 发表于 2014-1-24 11:59:52

那火绒是什么类型啊

显示全部楼层 · 发表于 2014-1-24 12:09:14

本帖最后由驭龙于 2014-1-24 12:11 编辑

您好：我是卡饭帮助适应会的驭龙，请不要使用技术原创标签，建议修改标签，以免被版主扣分或者警告，谢谢合作

本帖未达到原创标准
(7) 原创帖
原创帖需满足以下全部条件:
● 能比较透彻明了的说明问题
● 客观中立, 证据充分
● 涉及的操作过程, 须具有广泛的可重现性
并满足以下条件之一:
● 75% (含) 以上技术性内容为个人原创, 且具有一定深度
● 翻译 700 单词 (含) 以上的技术性内容

显示全部楼层 · 发表于 2014-1-24 12:27:41

sk3385 发表于 2014-1-24 11:59
那火绒是什么类型啊

SSDT

显示全部楼层 · 发表于 2014-1-24 12:45:07

挂钩无所以先进与否，而是在于处理流程和稳定性

[讨论] 部分主流杀软驱动挂钩分析

RE: 部分主流杀软驱动挂钩分析