关于beep.sys驱动问题

显示全部楼层 · 发表于 2009-1-1 16:41:10

不少病毒通过加载beep.sys驱动恢复ssdt过主动,不过系统中本身似乎存在着beep.sys驱动,病毒通过修改的方式加载.
请问:
1 hips只报修改beep.sys,而没有创建,那说明病毒不是通过的覆盖方式对吗?为何可以通过beep.sys系统中的驱动修改可以恢复ssdt列表,而不是创建本身的自带驱动
2 有没有病毒可以直接加载系统中的sys达到恢复ssdt? 或者弱点说是提权类的,绕过hips部分监控.

还有貌似hips中只有rtd或ps没有定位这个驱动 ?

[ 本帖最后由 snjj1118 于 2009-1-1 16:44 编辑 ]

显示全部楼层 · 发表于 2009-1-1 17:22:55

不用创建因为系统本身就已经具有beep.sys 因此大部分病毒为替换替换在hips眼里看来只能算是修改行为不能算创建行为

显示全部楼层 · 发表于 2009-1-1 19:37:07

为何我复制粘贴替换文件还要先创建?????

显示全部楼层 · 发表于 2009-1-1 19:56:35

基于文件已存在的情况

显示全部楼层 · 发表于 2009-1-1 22:36:40

复制粘贴覆盖文件原文件已存在我copy出去的为何覆盖提示首先是创建然后修改而不只是修改如何做到只修改不创建?请指点

显示全部楼层 · 发表于 2009-1-2 10:14:17

你编程的时候当然是打开-写入-保存-关闭这个步骤啦......

平时复制时，系统执行的步骤是删除-创建......

显示全部楼层 · 发表于 2009-1-2 13:48:18

那是剪切...
不用驱动当然可以
用NtSystemDebugControl

[其他相关] 关于beep.sys驱动问题

回复 5楼 snjj1118 的帖子

回复 7楼 LilyPrincess 的帖子

浏览过的版块