介绍一个基于Ring 3 的rootkit

首先先科普用户态内核态

两者的在指令上的区别  

一般来说，ring0权限下开放的指令有：IO读写、网卡访问、申请内存、访问硬件资源。

一般来说，ring3权限下开放的指令有：普通的计算指令等

两者在空间权限的区别

用户态和内核态的栈（用来储存函数 或者 形参的地方）是不同的，分别是用户栈和内核栈。

用户态可以访问虚拟内存0-3G的空间，内核态访问0-4G的空间

如图所示 我们可以看到内核态，它可以通过驱动的方式，复写物理内存

下面来介绍这款Rootkit软件

R77 是一个 Ring 3 rootkit，它隐藏了所有内容：

• 文件、目录

• 进程和 CPU/GPU 使用情况

• 注册表项和值

• 服务业

• TCP 和 UDP 连接

• 交汇点、命名管道、计划任务

按前缀隐藏

开头的一切都是隐藏的。"$77"