求助 powertool 显示内核入口点 HOOK

显示全部楼层 · 发表于 2017-10-10 10:53:26

本帖最后由 2655338087 于 2017-10-10 13:11 编辑

求助请问powertool 显示红色内核入口点 inline HOOK 能说明什么问题

显示全部楼层 · 发表于 2017-10-10 11:42:08

不能说明什么，就是有个inline hook，当访问原函数时会跳转目标函数。一般SSDT HOOK就是改变表指向，inline hook后指向不变的，函数头做了修改。更隐蔽，可以用来隐藏进程。但即使有也不能说明什么。

显示全部楼层 · 发表于 2017-10-10 11:51:15

本帖最后由 2655338087 于 2017-10-10 11:53 编辑

黑暗的背叛者发表于 2017-10-10 11:42
不能说明什么，就是有个inline hook，当访问原函数时会跳转目标函数。一般SSDT HOOK就是改变表指向，inline ...

请问会不会修改内核达到启动其他程序的目的比如启动WIN时启动木马
我按了privatefirewall 数字卫士和火绒，会不会是这3个的正常inline hook？

显示全部楼层 · 发表于 2017-10-10 13:01:21

2655338087 发表于 2017-10-10 11:51
请问会不会修改内核达到启动其他程序的目的比如启动WIN时启动木马
我按了privatefirewall 数字卫 ...

以前的数字会挂shadow ssdt，现在不清楚。KiFastCallEntry这个本身不能用来启动什么，但可以拦截应用层的调用。一般杀软不报就没事。

显示全部楼层 · 发表于 2017-10-10 13:09:52

谢谢放心了

[已解决] 求助 powertool 显示内核入口点 HOOK