★★★请问大多数杀软是工作在Ring0吗？？还有自己做的程序如何进入Ring0...

显示全部楼层 · 发表于 2010-6-16 16:38:02

绝大部分软件都工作在ring3，ring0内核形态转换需要开销，有延时~

显示全部楼层 · 发表于 2010-6-16 16:44:33

回复 李白vs苏轼 的帖子

在驱动SYS文件里写代码处理啊..

显示全部楼层 · 发表于 2010-6-16 16:51:25

Ring3例如要拦截进程启动的话用 WMI 吧拦截到进程启动信息后挂起进程
liangfangCN 发表于 2010-6-16 16:36

要使用wmi第几层呢是第三层吗
就是那个扩展

显示全部楼层 · 发表于 2010-6-16 16:52:51

环0和环3吧

显示全部楼层 · 发表于 2010-6-16 16:52:51

回复 liangfangCN 的帖子

ok

显示全部楼层 · 发表于 2010-6-16 16:55:01

本帖最后由李白vs苏轼于 2010-6-16 16:56 编辑

Ring3例如要拦截进程启动的话用 WMI 吧拦截到进程启动信息后挂起进程
liangfangCN 发表于 2010-6-16 16:36

突然发现WMI要控制一台机子的权限变得方便了
更易于黑客提权啊

特别是135端口

显示全部楼层 · 发表于 2010-6-16 16:55:27

绝大部分软件都工作在ring3，ring0内核形态转换需要开销，有延时~
tisyang 发表于 2010-6-16 16:38

这个延时是什么概念呢

显示全部楼层 · 发表于 2010-6-16 16:58:12

回复

在驱动SYS文件里写代码处理啊..
liangfangCN 发表于 2010-6-16 16:44

这样稳定吗对代码质量要求不是很高吗
稍微烂点很容易蓝啊

显示全部楼层 · 发表于 2010-6-16 17:00:40

回复 李白vs苏轼 的帖子

稳定不稳定要看代码怎么写咯 ,

显示全部楼层 · 发表于 2010-6-16 17:17:43

回复 李白vs苏轼 的帖子

ring0是内核态运作，比如内存分配管理等，都是在内核态处理，vista和win7的内核只有25m，如果没有相关代码，很难写出兼容性很好而且效率高的内核态代码。ring0和ring3比只是多了一些处理器级别的特权，一般最多在ring0做驱动，然后与ring3里的程序做交互，延时得看系统当时的状态。

[已解决] ★★★请问大多数杀软是工作在Ring0吗？？还有自己做的程序如何进入Ring0...