难到SD 是工作在ring3模式下，禁止ring0模式后SD 无法进入影子模式。

224041358

现在新出的狗狗可以在 Ring3 直接穿还原了。

spiha

请楼上提供样本

记得本月截至18号的机器狗都是用驱动的

不是那个cs.exe 啊。。

perman

Hi, folks:

I am using SD on one laptop, while having DeepFreeze standard on the other.

Can you provide us the comparison between these two in terms of the issues we have recently encountered ?  such as Robodog, cx.exe  ?

SONGBOWEN

原帖由 224041358 于 2008-6-19 19:09 发表
现在新出的狗狗可以在 Ring3 直接穿还原了。

没见过，更没听说过

给个样本？

qyzhang

ring 0,ring 3原来是CPU　的4　个级别，windows只用其中的ring 0,ring 3，ring 0只能由系统使用，用户无法调用ring 0的指令

224041358

无驱动秒穿还原保护(Ring3)
前段时间，闹得火热的机器狗病毒，直言可以穿透还原保护。但是那个病毒是在驱动实现的。前段时间，闹得火热的机器狗病毒，直言可以穿透还原保护。能做穿透的人，应该属于安全领域的业内专业人士，现在出现了一种可以在Ring3下穿透还原的软件，相信又是一个血雨腥风的时候的到来？


关键字: 无驱动秒穿还原保护

"注意: 本程序演示属于高危演示 请慎重实验 "
"演示: Ring3下无驱动穿透还原保护 破坏硬盘前4KB数据 "
"环境: 单硬盘 带有还原保护措施的Windows系统 不带也行"
"职业: Windows第三方核心/内核软件开发"


解压密码：www.zhuceji.org

http://www.im250.com.cn/wp-conte ... 12/passdiskrar..rar

运行前请输入注册信息：
用户名：x86asm.com
注册码：633E-EC95-9DF5-F5E0

224041358

ring3级下直接读写硬盘
#include <windows.h>#include <stdio.h>#pragma comment(lib, "user32.lib");#pragma comment(lib, "kernel32.lib");const UINT uSectorSize  = 512 ;const UINT uBegSector  = 0 ;const UINT uSectorNum  = 1 ;const UINT uReadSize  = uSectorSize * uSectorNum ;BYTE bBuffer[uReadSize] = ...{0} ;const char pDiskPath[] = "\\.\PHYSICALDRIVE0" ;void ShowByteInform ( PBYTE pBuf, UINT uSize )...{  for ( UINT i = 1 ; i <= uSize; i++ )  ...{    printf ( " %02X", pBuf[i-1] ) ;    if ( i % 16 == 0 )      printf ( "

SONGBOWEN

原帖由 224041358 于 2008-6-23 10:33 发表
无驱动秒穿还原保护(Ring3)
前段时间，闹得火热的机器狗病毒，直言可以穿透还原保护。但是那个病毒是在驱动实现的。前段时间，闹得火热的机器狗病毒，直言可以穿透还原保护。能做穿透的人，应该属于安全领域的业内专 ...

这个。。。
貌似SD很久以前就可以防了