ZwSetSystemInformation的使用

實驗對象 : 卡巴 7.0.0 .125
實驗函數 :ZwSetSystemInformation
實驗內容 : 繞過卡吧裝驅動 ( 多麽恐怖的事 ), 結果將會使系統失去防禦

 

// TestKisOfZwSetSystemInformation.cpp : Defines the entry point for the console application.

//

 

#include <windows.h>

#include <stdio.h>

#include <stdlib.h>

 

// New Deployment Module for rootkit 040

// -------------------------------------

// -Greg Hoglund http://www.rootkit.com/

/*

有关ZwSetSystemInformation的用法可以参考Gary Nebbett的《Windows NT/2000 Native API //Reference》

ZwSetSystemInformation 设置影响操作系统的信息，定义如下：

NTSYSAPI

NTSTATUS

NTAPI

ZwSetSystemInformation(

     IN SYSTEM_IMFORMATION_CALSS SystemInformationClass,

     IN OUT PVOID SystemInformation,

     IN ULONG SystemInformationLength);

 

参数：

     SystemInformationClass ：将被设置的系统信息的类型，值为SYSTEM_IMFORMATION_CALSS枚举的一个子集，SystemLoadAndCallImage就是

 

SystemInformation:

typedef struct _SYSTEM_LOAD_AND_CALL_IMAGE{

     UNICODE_STRING ModuleName;

} SYSTEM_LOAD_AND_CALL_IMAGE,*PSYSTEM_LOAD_AND_CALL_IMAGE;

 

     SystemInformationLength: 長度sizeof(SYSTEM_LOAD_AND_CALL_IMAGE)

 

成员：

     Module: 要加载模块的NATIVE NT格式的完整路径