一字节anti创建进程线程等回调

最新推荐文章于 2021-11-09 10:43:23 发布
最新推荐文章于 2021-11-09 10:43:23 发布
阅读量1.3k 收藏
点赞数
分类专栏： windwos内核 逆向
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_18942885/article/details/48443301
版权
这篇博客深入探讨了Windows内核中如何通过一字节anti技术来防止创建进程和线程的回调。文章通过反汇编代码分析了`PspExitThread`和`PspExitProcess`函数，展示了动态调试`PspNotifyEnableMask`的值，并讨论了相关安全机制。
摘要由CSDN通过智能技术生成
很久没有发帖子了~~~  上次一个哥们 一字节anti callbacks 其实还有更多地方哦~
~~
但是这样 还是不够的  


这次 一字节 anti 创建进程线程回调~~~





pspexitthread:


loc_140355BB8:
最低0.47元/天 解锁文章
qq_18942885
关注
专栏目录
Python基于joblib的并行计算&进程&线程&multiprocessing多核并行计算
猫敷雪
12-19 1549
总的来说，joblib是一个非常适用于需要大规模并行处理和缓存重复计算结果的任务的库，特别是在数据密集型的应用中，如机器学习、数据预处理和科学计算。X, y,这段代码的意思非常简单，即是用n_jobs个CPU来计算函数，其中参数为而这里只有作为被枚举的变量，其它参数始终保持不变。至于里为何要用clone函数是因为如果直接将传入的话，这个模型在外部也将会被改变。具体原因可以参看其它文档。
最新商家端Anti-Content参数逆向分析（0as）
吴秋霖的博客
04-05 3186
最新通用版本Anti-Content加密参数分析，Webpack纯算法扣取与算法还原！
反模块、线程、进程回调（PsSetXXXXX）
u014738665的博客
11-09 459
参考资料： 1、模块、进程、线程回调函数的逆向 2、一字节anti创建进程线程等回调 1、清空全局变量PspNotifyEnableMask PsSetCreateThreadNotifyRoutine、PsSetCreateProcessNotifyRoutine、PsSetLoadImageNotifyRoutine 2、注册无用回调函数占坑，因为注册回调有最大限制 例如PsSetLoadImageNotifyRoutine最大拥有8个回调 ...
利用ObRegisterCallbacks保护进程并附上突破ObRegisterCallbacks的方法[未更新]
zhuhuibeishadiao
05-02 9252
写上未更新的原因是我觉得 当初写这篇文章的时候理解的还是不够彻底,现在又了新的认识,待老夫有时间的时候在来重写一次 这里附上新的突破方法 我已经我写的时候已经写上了 今天发到博客的时候才发现没写，来补上 可以看我发到梦老大论坛的帖子,直接看第三种方法就行,前面两种我都服了,这样获取对象类型,太年轻啊 http://www.mengwuji.net/forum.php?mod=viewthr
x64windows安全机制进程_线程_模块加载回调摘要
weixin_30514745的博客
11-23 242
x64上面的每个回调都会对应一个count计数。注册表回调也会有。保存PspNotifyEnableMask标志，每个位分别代表相应的回调是否存在。 对应的位和相应的汇编代码如下。即使这个回调已经被杀毒软件注册了，我们通过定位相应的count并将其清0或者将相应的标志位置为0就可以让相应的回调得不到执行。 从而禁用掉杀软的安全机制。 PspNotifyEnableMask ...
Win64 驱动内核编程-31.枚举与删除映像回调
天使也掉毛
04-04 2075
枚举与删除映像回调 映像回调可以拦截RING3和RING0的映像加载。某些游戏保护会用此来拦截黑名单中的驱动加载，比如XUETR、WIN64AST的驱动。同理，在反游戏保护的过程中，也可以拦截游戏驱动的加载。 跟进程/线程回调类似，映像回调也存储在数组里。这个数组的“符号名”是PspLoadImageNotifyRoutine。我们可以在PsSetLoadImag...
系统回调介绍
06-13 484
这个BugCheckCallback每当系统发出错误检查时，都会执行例程。 这个KBUGCHECK_次要转储数据结构描述了一段驱动程序提供的数据，这些数据由KbCallbackSecdaryDumpData例程写入崩溃转储文件。 使用 　　设置 PspNotifyEnableMask 为 0 CreateProcess CreateThread LoadImage 回调函数都不会起作用 ...
研究和移除各种内核回调,在anti_anti_cheat的路上越走越远_driver_callback_
最新发布
08-31
研究和移除各种内核回调,在anti_anti_cheat的路上越走越远_driver_callback_bypass_1909
PDD 商家后台 anti-content 加密参数
02-21
补过环境可 可用nodejs直接调用 get_anti_content() 最新版anti_content亲测可以用 浏览器环境调用 可自行去掉环境直接使用 php 也可以直接调用
windows驱动 - Notify
qq726232111的博客
12-27 355
0x00 通知 流程: 由多个活动节点组成. 通知: 整个流程结束后,发送通知,根据流程的结果进行下一步操作. 不影响流程 回调: 流程中的某一节点. 在流程执行时,调用回调,并根据结果决定流程的后续处理. 影响流程 0x01 函数 //创建进程通知 PsSetCreateProcessNotifyRoutine() //参数2 加载与卸载 //加载模块通知 PsSetLoadImageNotifyRoutine() PsRemoveLoadImageNotifyRoutine() //创建线...
隔壁工程师都馋哭了我的逆向工程IDA，说要给我搓背捏脚
kali_Ma的博客
07-09 1003
逆向工程IDA主要内容涉及到的内容如下：1、内核对象及内核对象管理；2、进程回调；3、内核调试；4、Windbg双击调试；引言1 进程回调原理分析1.1 安装与卸载逆向分析1.2 OS执行回调例程分析1.3 触发调用的调用链分析2 实验2.1 观察系统中已安装的回调例程3 结束语 主要内容 针对进程行为的监控需求，以往很多安全软件都是采用的Hook技术拦截关键的系统调用，来实现对恶意软件进程创建的拦截。但在x64架构下，系统内核做了很多安全检测措施，特别是类似于KDP这样的技术，使得Hook方法不再有效。
x32下PsSetLoadImageNotifyRoutine的逆向
weixin_30273763的博客
08-03 186
一丶简介 纯属兴趣爱好.特来逆向玩玩. PsSetLoadImageNotifyRoutine 是内核中用来监控模块加载.操作系统给我们提供的回调. 我们只需要填写对应的回调函数原型即可进行加监控. 既然可以进行监控.那么我们的回调函数存储在哪.这是个问题.所以特来逆向玩玩. 二丶逆向过程 首先我的思路是直接windbg 挂载win7. 然后找到对应的函数进行 uf 反汇编. 来静态查看. 如果那...
Win7、win10下利用ETW Trace跟踪用户的文件读写信息
浪子_三少(邮箱:basketwill@qq.com)
06-30 8419
发表于freebuf ：             http://www.freebuf.com/column/138862.html                  Windows® 事件跟踪 (ETW) 是操作系统提供的一个高速通用的跟踪工具。ETW 使用内核中实现的缓冲和日志记录机制，提供对用户模式应用程序和内核模式设备驱动程序引发的事件的跟踪机制。自windows2000开始，各
在.net中使用ETW事件的方法
weixin_30483495的博客
10-19 605
直到.net4.5，才有了比较便利的操作ETW的方法。 本文介绍的方法主要来源于Microsoft.Diagnostics.Tracing.TraceEvent官方资料库。 准备 （1）需要用到类：Microsoft TraceEvent Library，这个类可以到nuget上下载到: Install-Package Microsoft.Diagnostics.Tr...
win7文件扩展名关联打开方式时崩溃(RtlQueryInformationAcl+0x9)的调试
u010607621的博客
07-13 1618
故障现象 win7x64，装了蓝山办公，再卸载之，就出现了文件扩展名关联打开方式时会崩溃。 dmp分析 捕获进程崩溃dmp，可知崩溃的进程为rundll32.exe，崩溃时的栈如下： 00000000`000eec00 000007fe`fce9b35a : 00000000`000706e4 00000000`00310ea8 00000000`00000111 00000000`00000000 : ntdll!RtlQueryInformationAcl+0x9 00000000`000eec30
Turla中的rootkit_fdisk.sys分析(一）
pureman_mega的博客
08-02 401
（果然分析不下去了，这个样本涉及的内容太广，我得去补充补充知识再来接着分析了） 最近发现这个模块比较有趣，还是个x64上的，正好可以练习一下x64的汇编，写下来有个更好的理解。由于个人能力有限，这个过程可能会持续几个月，或者更长，不知道能不能弄完。下面通过一些汇编片段来学习它的编程思路及技巧。 仅供参考，如有错误欢迎指出。 1，获取系统信息，函数原型: ULONG64 GetSystemI...
深入探讨内核回调移除技术，挑战anti_anti_cheat技术
内核回调是一种机制，允许操作系统内核调用特定的函数或代码段，以响应系统发生的某些事件，如驱动加载、进程创建、文件操作等。这种机制广泛用于各种安全产品和反作弊软件中，目的是为了增强系统安全性和防止恶意...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值