一个ARK工具SysReveal 2010-05-07更新至v1.0.0.57

显示全部楼层 · 发表于 2010-1-2 21:02:56

本帖最后由 states 于 2010-5-17 22:04 编辑

v1.0.0.57(2010-05-07)
这个版本只修改了新发布的v1.0.0.52的BUG，没有引入新的功能，进程部分的显示优化问题因时间原因暂时没有修改，预计在月底的版本中会统一修改。
1.修改了进程模块路径显示不正确的问题 (Thanks to beetea)
2.修改了文件窗口无法在线查毒的问题 (Thanks to 小岐)
3.修改了注册表窗口几个菜单无响应的问题
4.修改了由于权限不足导致无法删除注册表项的问题 (非最终版)
5.修改了句柄窗口无法显示进程名的问题

SysReveal.part1.rar (445 KB, 下载次数: 1004)

2010-5-14 00:01 上传

点击文件名下载附件

SysReveal.part2.rar (445 KB, 下载次数: 934)

2010-5-14 00:01 上传

点击文件名下载附件

SysReveal.part3.rar (207.63 KB, 下载次数: 917)

2010-5-14 00:01 上传

点击文件名下载附件

v1.0.0.52 (2010-05-02)
更新日志：
1.修改了程序版本不正确导致重复提示需要升级的问题（Thanks to freesoft00）
2.修改了Startup中存在简体中文字符导致繁体下显示乱码的问题（Thanks to NG）
3.修改了进程名称显示乱码的问题（Thanks to freesoft00）
v1.0.0.51 (2010-04-30)
更新日志：
1.自定义可信文件（白名单），这是这个版本引入的非常重要的功能，目的是通过交互的方式来进一步排查可疑文件，辅助病毒检测。
2.文件系统浏览采用磁盘文件系统解析的方式代替原来的IRP发包方式，目前从检测的强度上来说，SysReveal已经不输于其他同类产品。
3.进程显示采纳了freesoft00和云览的建议，改成了wsyscheck的显示方式，并做了增强。
黑色表示微软进程
蓝色表示非微软进程，但是有数字签名，或者被用户设置为可信程序
红色表示非微软进程
粉红色表示虽然进程是微软进程或有数字签名，但模块中有非可信的模块
4.在线文件名称搜索。
5.在线可疑文件检测，目前使用VIRUSTOTAL的在线服务
6.内存查看部分增加字符串搜索功能
7.增加字符串搜索的相关配置
8.启动部分增加修复页面
9.增加签名文件显示
10.自动保存界面的配置信息（如显示的列，列宽，当前排序列等）
11.文件浏览和注册表浏览的下拉列表可定制，定制方法是修改sysreveal.ini中相关的配置项。
12.内置启动项和可修复项，用户可按照SysReveal启动项XML文件说明的格式进行扩展。具体使用方法是在SysReveal.exe所在目录下建立startups.xml用于检测SysReveal缺省以外的启动项以及fixreg.xml用于SysReveal缺省以外的可修复项。
13.修改了导出到HTML的模板格式。
驱动修改日志
1.增加了线程SSDT与原始SSDT的比对
2.修改了SSDT函数在VISTA SP1下显示不正确的问题
3.修改了WINDOW 7下枚举进程模块可能导致CRASH的问题
4.枚举进程模块时过滤非PE文件
5.部分移植到64位操作系统

v1.0.0.27更新日志：
1.增加了启动项扫描以及服务扫描，启动项组织严重参考了经典的Autoruns，服务项支持过滤显示以及诸多常用操作。
2.在所有窗口增加复制操作，可选中一行或者多行，然后点鼠标右键（或者按Ctrl+C）复制选中行的某列或者所有列的信息到剪贴板。
3.工具条可定制（在按钮上按右键）
4.增强了搜索文件的选项（感谢来自SysReveal群的云览）
5.修正了进程树状视图显示的BUG
6.修正了注册表直接输入跳转可能失败的BUG
7.修正了文件窗口删除目录时视图不刷新的BUG

SysReveal v1.0.0.21 (2010-02-22)更新：
主要改了几个用户上报的严重BUG，启动项部分会在下个版本加上。关于文件管理里的粉碎功能。 SysReveal的文件粉碎功能是通过调用底层驱动来实现的，如果文件曾经被打开，由于系统缓存的原因，那么很可能文件被粉碎以后，通过notepad或者其他文件查看工具读出来的文件仍然是被粉碎以前的文件，而实际上文件已经被清零了。这时候可以重启后再看一下，或者用WinHex打开物理磁盘的方式来查看确认。
文件粉碎的主要用途有两个：

对于病毒文件，如果病毒文件被病毒的进程或者驱动占用，无法直接访问或者修改文件时，可以强制使用SysReveal进行粉碎，这样保证重启后病毒无法正常启动以达到清除的目的。
对于用户重要的隐私文件，通过文件粉碎功能来清除文件内容，以防止被恢复而导致泄密。

更新日志：

1.*修改了批量删除文件只能删除一半文件的BUG。
2.*修改了注册表在VISTA下打开有问题的BUG。
3.*修改了WINDOWS 7下粉碎文件有问题的BUG。
4.*修改了API HOOK/DRIVER HOOK比对会导致CRASH的BUG。

v1.0.0.20更新日志：
1.增加了驱动接口进行进程和线程操作，现在基本不会出现进程打不开的情况了。
2.增加了网络连接查看和管理。
3.增加了进程窗口查看和管理。
4.修改进程视图，缺省为树状视图。
5.绝大多数界面支持多选操作。
6.文件部分支持多选操作，增加文件粉碎功能。目前仍然采用发IRP方式，强度上略有欠缺，解决方法当然是采用NTFS解析，春节前没有时间和精力做了。
7.注册表部分我已经重新设计过了，在实现搜索算法和处理NTREG的UNICODE的问题上花了很多功夫，目前强度上应该没有问题了，当然由于测试不充分，可能还有潜在的BUG。
8.修正了v1.0.0.18 alpha导致Windows Server 2003 BSOD的BUG
9.修正了v1.0.0.18 alpha网络界面刷新会CRASH的BUG

1月22日更新为SysReveal v1.0.0.18 Alpha版
更改日志:
1、增加了驱动接口进行进程和线程操作，现在基本不会出现进程打不开的情况了。
2、增加了网络连接查看和管理。
3、增加了进程窗口查看和管理。
4、修改进程视图，缺省为树状视图。
5、绝大多数界面支持多选操作。

6、文件和注册表的bug还没有改，会在最终发布的版本里面修改。

1月12日更新为SysReveal v1.0.0.13版
修正：Driver hook符号不正确的。 (感谢linxer)
修正：内存查看不能转到某些地址
修正：显示hook窗口对话框将导致SysReveal在Windows 2003崩溃

1月11日更新为SysReveal v1.0.0.12版

添加IAT hook检测。
修正错误：终止进程不会刷新进程对话框
修正了Vista SP2的驱动程序错误

1月8日更新为SysReveal v1.0.0.11版
+支持加载符号文件
注：SysReveal需要Dbghelp.dll（微软的动态链接库），以启用
此功能，如果SysReveal不能启动，请下载dbghelp这里解压缩到
你的SysReveal目录。
新选项被添加到设置对话框。

+支持汇编代码修改
打开内存，然后按空格键修改汇编代码。注：这是危险的，直接
通过SysReveal写入内存，它可能会导致进程崩溃，甚至蓝屏死
机，请小心进行。

*优化了启动速度
*修正内存视图对话框

SysReveal是一个用于查看和分析Windows底层数据结构的工具。功能类似于IceSword,RKU,以及XueTr，SysReveal的目的就是为了对系统进行更深入的研究，学习rootkit技术，提高编程水平。目前最新的版本是v1.0.0.10。支持WINDOWS 2000 ~ WINDOWS 7的32位操作系统。

因为目前有很多的同类工具，SysReveal才刚刚上路，SysReveal支持的比较有特色的功能是：
1. 友好的操作界面
2. 完全支持Windows 7
3. 支持实时的内存查看和反汇编

4. 完备的功能（当然现在还差很远）
以下是SysReveal的功能列表：
进程管理进程管理是SysReveal的基本功能，使用SysReveal可以方便的进行进程管理，对进程的模块，线程和句柄进行操作，SysReveal还支持对进程内存的二进制数据显示和反汇编代码显示，同时SysReveal采用了深度的进程检测，可以方便的发现被rootkit隐藏的进程。

驱动管理SysReveal可以枚举当前系统正在运行的驱动程序，通过深度驱动检测，SysReveal可以检测到被rootkit隐藏的驱动程序。查看驱动内存时，同样可以选择二进制视图和反汇编视图。

内核数据查看SysReveal能够方便的查看诸多系统的关键数据，包括：
SSDT
Shadow SSDT
IDT
System Notify
Windows hook
Driver hook
Object hook
FSD hook

文件管理器SysReveal通过底层驱动构建IRP包来遍历文件系统，从而可以检测到被rootkit隐藏的文件或者目录。

注册表管理器SysReveal通过分析HIVE文件的方式来读取系统注册表，从而可以检测到被rootkit隐藏的注册表项。
作者主页：http://www.sysreveal.com/

显示全部楼层 · 发表于 2010-1-2 21:04:34

哦，友情支持，欢迎试用

显示全部楼层 · 发表于 2010-1-2 21:06:47

又一个ARK在作者学习rootkit的过程中诞生了。。。。

显示全部楼层 · 发表于 2010-1-2 21:12:19

本帖最后由 states 于 2010-1-8 17:09 编辑

第一次使用建议先去在虚拟机中。

显示全部楼层 · 发表于 2010-1-2 21:18:25

上图看看，上图看看。。。。。。

显示全部楼层 · 发表于 2010-1-2 21:20:00

本帖最后由 gxrsprite 于 2010-1-2 23:14 编辑

试点击了各种功能，未蓝屏。。(也没开其他的带内核的软件，幸好，别吓我)
建议文件和注册表都有目录栏，做到ARK中最友好的一个吧。。。。

显示全部楼层 · 发表于 2010-1-2 21:20:32

有个09年10月份更新的版本，ARK普遍更新缓慢，这个算是比较新吧

显示全部楼层 · 发表于 2010-1-2 21:20:50

SysReveal是一个用于查看和分析Windows底层数据结构的工具。功能类似于IceSword,RKU,以及XueTr，写SysRevea ...
states 发表于 2010-1-2 21:02

查看功能还需加强啊

显示全部楼层 · 发表于 2010-1-2 21:20:59

本帖最后由 tawny2008 于 2010-1-2 21:22 编辑

在看雪看到过，感谢提供分享

显示全部楼层 · 发表于 2010-1-2 21:27:32

本帖最后由 states 于 2010-1-6 21:19 编辑

发bug去作者的主页

[软件分享] 一个ARK工具SysReveal 2010-05-07更新至v1.0.0.57

评分