【纯属无聊】报废Ring3 Inline Hook实现的进程保护

显示全部楼层 · 发表于 2016-7-20 20:55:29

本工具仅仅报废了Ring3下的保护，为防止逆向，加了VMP壳（有能力逆向的人基本上不逆也能写出一个）。测试对象：@ExitProcess 制作的ProcessProtected，理论支持NT全系列（不论Win32/64）
P.S:我记得我去年在vbgood上做了个功能相似的玩意，不过只兼容XP，这个就当是狗尾续貂吧。。。【PS:该版在Ring3大致上无敌，但在Ring0里简单地SSDT Hook一个函数就能使之失效】

显示全部楼层 · 发表于 2016-7-21 21:20:06

沙发前来支持大神

显示全部楼层 · 发表于 2016-7-22 14:28:46

下载14次，居然没几个回复的，楼主的附件描述被忽视了，那我来支持一下，第15个下载者

显示全部楼层 · 发表于 2016-7-22 15:50:35

本帖最后由驭龙于 2016-7-22 16:01 编辑

重复内容，编辑掉

显示全部楼层 · 发表于 2016-8-4 09:31:13

刚才看了下仅针对这个的话在R3完全可以hook GetProcAddress 引导到别的地方去,甚至是moveMemory这种让你钩子都恢复不了方法不少
SSDT可以hook NtTerminateProcess 或NtOpenProcess等等方法也很多
话说这VMP好像加得有点水

显示全部楼层 · 发表于 2016-8-4 10:00:09

蚯蚓翔龙发表于 2016-8-4 09:31
刚才看了下仅针对这个的话在R3完全可以hook GetProcAddress 引导到别的地方去,甚至是moveMemory这种让你钩 ...

你说的这些挂钩点都是可以自己实现的【只是我偷懒了】

显示全部楼层 · 发表于 2016-8-4 19:41:52

tang-ptr 发表于 2016-8-4 10:00
你说的这些挂钩点都是可以自己实现的【只是我偷懒了】

如果是CreateFile能实现么我知道那几个可以自己实现其实简单的话自己组建机器码sysenter都行了 ...

显示全部楼层 · 发表于 2016-8-4 19:59:44

蚯蚓翔龙发表于 2016-8-4 19:41
如果是CreateFile能实现么我知道那几个可以自己实现其实简单的话自己组建机器码sysenter都行了 ...

我指的是CopyMemory GetProcAddress GetModuleHandle这些函数。自己组建机器码那个玩意兼容性不好，每个系统都不一样要重新确认。

[原创工具] 【纯属无聊】报废Ring3 Inline Hook实现的进程保护