PC Hunter V1.56 [2019-01-31] 发布，支持Win10(17763)

显示全部楼层 · 发表于 2011-8-16 13:31:09

膜拜大牛

显示全部楼层 · 发表于 2011-8-16 17:18:56

很好用的工具

显示全部楼层 · 发表于 2011-8-20 20:25:08

dl123100 发表于 2011-7-24 18:04
MD是从签名里读取的签名人名称，PT我这里最新版内核模块检测功能用不了。

dl大牛，今天用XT检查服务时蓝屏了，帮忙看一下dump日志

082011-10296-01.rar (21.6 KB, 下载次数: 12)

显示全部楼层 · 发表于 2011-8-20 20:53:10

zuo 发表于 2011-8-20 20:25
dl大牛，今天用XT检查服务时蓝屏了，帮忙看一下dump日志

0: kd> .trap 0xffffffff9e130bd4
ErrCode = 00000002
eax=864e74d0 ebx=00000001 ecx=9e130c80 edx=90aa28b1 esi=00000002 edi=00000000
eip=84227e86 esp=9e130c48 ebp=9e130c68 iopl=0       nv up ei pl zr na pe nc
cs=0008  ss=0010  ds=0023  es=0023  fs=0030  gs=0000          efl=00010246
nt!ObReferenceObjectByHandle+0x2:
84227e86 c1870cff751cff  rol    dword ptr [edi+1C75FF0Ch],0FFh ds:0023:1c75ff0c=????????
0: kd> kb
  *** Stack trace for last set context - .thread/.cxr resets it
ChildEBP RetAddr  Args to Child
9e130c68 842515c9 000002fc 00000001 0124b001 nt!ObReferenceObjectByHandle+0x2
9e130d14 840441fa 000002fc 00097280 00000002 nt!NtQueryValueKey+0x11e
9e130d14 779770b4 000002fc 00097280 00000002 nt!KiFastCallEntry+0x12a
WARNING: Frame IP not in any known module. Following frames may be wrong.
00097250 00000000 00000000 00000000 00000000 0x779770b4

u nt!ObReferenceObjectByHandle:
84227e84 e96fc1870c    jmp    HOOKHELP+0x5ff8 (90aa3ff8)

CUSTOMER_CRASH_COUNT:  1

DEFAULT_BUCKET_ID:  CODE_CORRUPTION

BUGCHECK_STR:  0x8E

PROCESS_NAME:  SearchProtocol

CURRENT_IRQL:  0

蓝屏时当前进程不是XueTr.exe，还不太清楚XueTr检测服务是否会恢复ObReferenceObjectByHandle的hook，以及瑞星是否会循环恢复自己的hook。
不知道能否再次重现？

显示全部楼层 · 发表于 2011-8-20 20:57:19

dl123100 发表于 2011-8-20 20:53
0: kd> .trap 0xffffffff9e130bd4
ErrCode = 00000002
eax=864e74d0 ebx=00000001 ecx=9e130c80 edx=90 ...

对了，检查服务时瑞星正在自动更新
检查服务时蓝屏以前也遇到过，貌似只有在特定情况下才会蓝屏

显示全部楼层 · 发表于 2011-8-20 21:06:20

本帖最后由 zuo 于 2011-8-20 21:06 编辑

dl123100 发表于 2011-8-20 20:53
0: kd> .trap 0xffffffff9e130bd4
ErrCode = 00000002
eax=864e74d0 ebx=00000001 ecx=9e130c80 edx=90 ...

刚才又去试了下，这次先手动更新瑞星，再用XT检查服务，没有蓝屏

显示全部楼层 · 发表于 2011-8-23 18:46:08

很好，支持这种工具

显示全部楼层 · 发表于 2011-8-23 20:40:12

本帖最后由 liulangzhecgr 于 2011-8-23 20:40 编辑

'数据流病毒'出现,希望早日更新xt ... ...

显示全部楼层 · 发表于 2011-8-23 21:12:00

本帖最后由 dl123100 于 2011-8-23 21:14 编辑

liulangzhecgr 发表于 2011-8-23 20:40
'数据流病毒'出现,希望早日更新xt ... ...

这类毒有约定的家族名，根本不能算数据流病毒。一年多前就出现了，只是那时没有现在的自保，而且最近才将某些文件附加到数据流中，核心隐藏技术也不是依靠数据流。

显示全部楼层 · 发表于 2011-8-24 08:37:24

samantec 12版本貌似误报，请验证

[原创工具] PC Hunter V1.56 [2019-01-31] 发布，支持Win10(17763)

评分

评分