那个用低权限交互模式看看能不能拦截到样本写入服务项

显示全部楼层 · 发表于 2014-10-6 14:10:57

liushuikong 发表于 2014-10-6 13:23
那为什么我 win7 64 位系统 SSDT被勾住的函数一大堆

有问题吗？

试试样本看看能不能拦截到虚拟机里试试

显示全部楼层 · 发表于 2014-10-6 17:38:43

Wesly.Zhang 发表于 2014-10-6 12:13
Hello，

I am afraid not... 期待毛子把虚拟化技术运用到主防模块里面吧。

期待老毛子？
为什么没有第一时间把虚拟化技术运用到主防模块里面
现在不都64位了么

显示全部楼层 · 发表于 2014-10-6 21:54:21

本帖最后由 Wesly.Zhang 于 2014-10-6 21:58 编辑

liushuikong 发表于 2014-10-6 13:23
那为什么我 win7 64 位系统 SSDT被勾住的函数一大堆

有问题吗？

Hello，

你在开玩笑吗？x64 上 SSDT 被其他第三方挂钩直接就蓝屏了……包括 shadowSSDT，仅win32k.sys除外。除非使用 Patchguard 补丁，不过 KAV/KIS 没有使用这种方法挂 SSDT，所以就没有挂钩，微软随时封方法，集体蓝屏毛子是担待不起的。

Patchguard 怎么可能被你挂钩 SSDT ……

显示全部楼层 · 发表于 2014-10-6 22:01:09

tpy_yx 发表于 2014-10-6 17:38
期待老毛子？
为什么没有第一时间把虚拟化技术运用到主防模块里面
现在不都64位了么

Hello，

这是一个时间问题，慢慢稳定推进中。2015 在反截屏功能上使用了虚拟化技术，目前仅支持 Intel CPU。

显示全部楼层 · 发表于 2014-10-6 23:16:45

Wesly.Zhang 发表于 2014-10-6 21:54
Hello，

你在开玩笑吗？x64 上 SSDT 被其他第三方挂钩直接就蓝屏了……包括 shadowSSDT，仅win32k.s ...

嗯，仔细一看是我弄错了，把shadowSSDT当成SSDT了。我说的被挂钩的就是是shadowSSDT里面的 win32k.sys

显示全部楼层 · 发表于 2014-10-7 08:40:26

Wesly.Zhang 发表于 2014-10-6 22:01
Hello，

这是一个时间问题，慢慢稳定推进中。2015 在反截屏功能上使用了虚拟化技术，目前仅支持 I ...

嗯，好的

[已解决] 那个用低权限交互模式看看能不能拦截到样本写入服务项

评分