SD和HIPS启动先后有区别吗

SONGBOWEN

原帖由 ahu2422 于 2009-1-14 11:06 发表

听说 hips 好像拦截不了已经加载驱动的程序

并不绝对，已经加载的驱动，可以恢复HIPS Hook的一些系统函数，导致HIPS监控失效。
而没有做这些操作的话，就看HIPS监控的范围了，有的HIPS只会监控Ring3层的API，一旦有程序进入Ring0层，就无法监控了（EQ好像就是这样），而有的则会连内核态函数一同监控（例如微点），即便已经加载驱动，进入R0，依然受到它的监控。