冰刃所显示驱动

显示全部楼层 · 发表于 2009-2-7 11:48:00

这个是什么？路径上有“？？”，如图

PS：冰刃是如何识别异常驱动，并标示为红色？

显示全部楼层 · 发表于 2009-2-7 12:08:16

无视那个\??\就可以了
有\??\ 并不能说明这个驱动是异常的这是这个文件内核路径的一部分
冰刃显示的时候没有把\??\干掉

显示全部楼层 · 发表于 2009-2-7 12:11:32

PS：冰刃是如何识别异常驱动

显示全部楼层 · 发表于 2009-2-7 12:49:53

显示全部楼层 · 发表于 2009-2-7 12:51:04

能不能浅显点，这个太专业了

显示全部楼层 · 发表于 2009-2-7 12:52:37

问号是有那个NtQuerySystemInformation导出函数的bug所致,很多内核工具都有这个毛病

显示全部楼层 · 发表于 2009-2-7 12:56:12

原帖由 smilediy 于 2009-2-7 12:52 发表
问号是有那个NtQuerySystemInformation导出函数的bug所致,很多内核工具都有这个毛病

不会吧都是因为那些工具懒得处理了
你用我写的XueTr 我处理了 http://bbs.kafan.cn/thread-384301-1-1.html

显示全部楼层 · 发表于 2009-2-11 00:08:39

看不懂，得学习汇编了

显示全部楼层 · 发表于 2009-2-11 00:14:23

原帖由 Deker 于 2009-2-7 12:56 发表
不会吧都是因为那些工具懒得处理了
你用我写的XueTr 我处理了 http://bbs.kafan.cn/thread-384301-1-1.html

哈哈，加油^_^

显示全部楼层 · 发表于 2009-2-11 00:17:18

冰刃识别异常驱动的方法是看此驱动是否是inlinehook，这个驱动是否采用fsd hook，还有加载运行是否隐藏等

[求助] 冰刃所显示驱动