2008年01月
提升进程Debug权限的原因就不说了，常规提升操作的方法是OpenProcessToken、LookupPrivilegevalue、AdjustTokenPrivileges，本文的方法一也不例外，方法二是使用微软未公开的API函数RtlAdjustPrivilege，相对代码要简洁的多。两种方法在Vista和XP下测试通过。阅读全文>
发表于 @ 2008年01月22日 18:04:00|评论(loading...)|编辑
所谓DLL远程注入，就是强迫DLL程序运行在其他进程中，这样做的目的无非有两种：第一是伪装自身，第二是控制宿主。前者常见于病毒或木马，后者则一般用于正规之场合，比如常见的输入法、外挂等等，有时Hook(钩子)也用到该技术。由此可见，技术是把双刃剑，区别在于使用技术的人。阅读全文>
发表于 @ 2008年01月20日 17:58:00|评论(loading...)|编辑
本文将对当今先进的病毒/反病毒技术做全面而细致的介绍，重点当然放在了反病毒上，特别是虚拟机和实时监控技术。文中首先介绍几种当今较为流行的病毒技术，包括获取系统核心态特权级，驻留，截获系统操作，变形和加密等。然后分五节详细讨论虚拟机技术：第一节简单介绍一下虚拟机的概论；第二节介绍加密变形病毒，作者会分析两个著名变形病毒的解密子；第三节是虚拟机实现技术详解，其中会对两种不同方案进行比较，同时将剖析一个查毒用虚拟机的总体控制结构；第四节主要是对特定指令处理函数的分析；最后在第五节中列出了一些反虚拟执行技术做为今后改进的参照。论文的第三章主要介绍实时监控技术，由于win9x和winnt/2000系统机制和驱动模型不同，所以会分成两个操作系统进行讨论。其中涉及的技术很广泛：包括驱动编程技术，文件钩挂，特权级间通信等等。本文介绍的技术涉及操作系统底层机制，难度较大。所提供的代码，包括一个虚拟机C语言源代码和两个病毒实时监控驱动程序反汇编代码，具有一定的研究和实用价值。 阅读全文>
发表于 @ 2008年01月02日 21:52:00|评论(loading...)|编辑
首先来解释一下这次的目标。由于windows的copy-on-write机制（Ring0下可以用CR0寄存器关掉它），Ring3下的HOOK只对当前进程有效，其他进程的API还是正常的。这就是说我们必须枚举进程，然后对每个Ring3进程执行一遍HOOK操作。但是，系统中总有新进程产生，对于这些新进程我们怎么处理呢？最容易想到的就是设置一个TIMER，每隔一段时间就枚举一遍进程然后把新的挂钩。但仔细一想就知道不行，TEMER过快严重影响系统效率，慢了又起不到作用，况且windows不是一个实时操作系统，没人能保证到时间TEMER就被激活。如果我们能监控进程创建，并在他们真正运行之前就执行挂钩操作，就可以完美的解决问题。阅读全文>
发表于 @ 2008年01月02日 21:45:00|评论(loading...)|编辑