PC Hunter V1.56 [2019-01-31] 发布，支持Win10(17763)

显示全部楼层 · 发表于 2009-2-26 23:29:05

上传录像，由于临时切换到home basic颜色模式，XueTr显示可能看起来不太正常。

显示全部楼层 · 发表于 2009-2-27 00:02:41

原帖由 dl123100 于 2009-2-26 23:14 发表
继续反映问题。
473936
XP SP3运行HBKernel后，发现XueTr有时检测数字签名会如上图显示，另卸载HBKernel病毒通过AppInit_Dlls方式加载的模块HBmhly.dll后XueTr会出错退出。
473937
Vista下XueTr会将smss.exe验证 ...

AppInit_Dlls很邪恶，最近也在防这个，测试了几款保险箱都没能成功防范，优先级别很好，有系统user32.dll来完成，试过了Hook KeUserModeCallback有时可以有时不行
DLL ring3注入HOOK肯定不行只能在系统还未初始化完成在第一个线程还没启动前完成HOOK才行，今晚测试终于搞定它了

显示全部楼层 · 发表于 2009-2-27 00:09:53

何不来一个强强联手，软件的开发速度应该更快的

显示全部楼层 · 发表于 2009-2-27 00:10:46

陈辉大侠  你咋防AppInit_Dlls的

第一个线程都还没起来  你咋防啊

另外海风在我Blog说的加壳防是个好思路  不过
我不想加那种壳  不过要自己写代码来防  工作量比较大(我知道的防方法)

显示全部楼层 · 发表于 2009-2-27 00:21:52

我也研究了几天，主要是不能跟踪很麻烦
我试了驱动，试过ring3 hook多种都失败了
如果拦截CreateProcess那时注入都晚了必须在第一个线程还没跑起来拦截才行
因为一跑起来的时候user32.dll已经加载了而且已经调用了LoadLibraryW了那时HOOK其实DLL已经加载了

显示全部楼层 · 发表于 2009-2-27 00:26:15

可以在进程回调里进行HOOK

显示全部楼层 · 发表于 2009-2-27 00:26:59

还有在ImageLoad回调你当加载了kernel32的时候就可以动手了

显示全部楼层 · 发表于 2009-2-27 00:41:16

学习了
这个东西我还是暂时不搞了先改改Bug才
N多Bug堆积了

显示全部楼层 · 发表于 2009-2-27 00:43:46

Ring3 要防那个只能注射Dll  来Hook LoadLibraryEx这类函数
还有就是对Dll加载消息进行拦截
用这个方法可以不用驱动  但是需要单独写个Dll来完成这个工作

这个方法在2k xp 2k3上肯定没有问题但是vista以上系统我就不知道了需要测试才知道

[ 本帖最后由 Deker 于 2009-2-27 00:45 编辑 ]

显示全部楼层 · 发表于 2009-2-27 00:48:33

Hook这个 LoadLibraryEx肯定不行的
至少VC编写的程序都不行，我都直接写SHELLCODE不注入DLL注入DLL当你的DLL在加载时那个DLL都已经加载完了

[原创工具] PC Hunter V1.56 [2019-01-31] 发布，支持Win10(17763)