部分主流杀软驱动挂钩分析

最新推荐文章于 2020-08-13 20:40:12 发布
最新推荐文章于 2020-08-13 20:40:12 发布
阅读量964 收藏
点赞数
分类专栏： 驱动
本帖最后由 shulun743 于 2014-1-24 12:27 编辑

主要说32位系统:
挂钩方式，现在常用的就是挂钩ssdt，shadown ssdt，inline hook
挂钩文件系统过滤驱动和HOOK NT！KiFastCallEntry！

不具体讨论HOOK和INLINE HOOK的区别了！就是蓝屏不蓝屏的问题！

主要讨论挂钩位置的问题：
分为两大阵营：
1、挂钩SSDT
最成熟，最常用的挂钩！代表是卡巴等绝大多数杀软就是采用这种位置挂钩！

2、HOOK NT！KiFastCallEntry！

代表是360和金山，目前为止唯一使用这个位置的就是上述两款！
swanabin
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
挂钩KiFastCallEntry实现驱动级进程保护
06-12
采用挂钩KiFastCallEntry函数来保护进程,使运行进程不会被恶意软件非正常终止,代码包含VC,vb调用实例.
谈一谈，做一个杀毒软件，必备的Windows驱动程序
thanklife的专栏
09-28 1597
建议查看原贴：https://bbs.pediy.com/thread-189926.htm 我觉得，做一个杀毒软件，大概要有以下的驱动程序。下面我给出了杀毒软件的大致设计框架。 由于一些事情的存在，程序代码暂时不能上传到看雪论坛上，以免引起日后产生不必要的法律纠纷。这里还请各位朋友能够原谅。 若有不对和不足的地方，还请见谅。 1)磁盘扫描计算机病毒。 一个扫描引擎主要包
Windows驱动学习（六）-- FSD钩子
安全杂货铺
11-21 2480
教程参考自：https://www.bilibili.com/video/av26193169/?p=8 代码地址：https://github.com/G4rb3n/Windows-Driver/tree/master/MT_FSDHook 1. 概述 FSD钩子是一种较实用的过滤方法，对比于上一章的添加键盘过滤设备，这种方法更显得简单高效。 2. 驱动编写 2.1 驱动入口函数 入口函数简单明...
对内核的直接挂钩 分类： windows驱动程序WDM ...
weixin_30732487的博客
09-25 135
简介 有时在开发中，会遇到这样一种情况，当非常需要对某些内核函数进行挂钩时，而常规基于PE的挂钩，往往达不到目的。在本文中将要探讨的，是怎样直接挂钩内核函数，另外，在示例中，还要演示在系统中显示为一个基本磁盘的可移动USB存储设备，并在其上创建及管理多个分区（因为这样或那样的原因，Windows既不允许，也不能识别可移动存储设备上的多个分区，所以我们要“欺骗”...
基于ANSYS Workbench的矿用电缆挂钩静力分析与试验验证
07-03
采用ANSYS Workbench对矿用电缆挂钩进行有限元分析,得出在静载下挂钩的整体变形与应力分布,对比不同固定方式下结果的差异,并探讨瞬时冲击对挂钩的影响。设计连接装置进行试验,得出挂钩横梁的变形量,验证了软件模拟的...
如何绕过EDR挂钩检测 杀软EDR对抗-脱钩
10-31
如何绕过EDR挂钩检测 杀软EDR对抗-脱钩
数字驱动分析笔记之HookPort1
08-03
【数字驱动分析笔记之HookPort1】主要涉及的是Windows驱动程序开发中的钩子技术，用于监控和控制系统关键API的调用。以下是该主题中涉及的知识点详解： 1. **驱动程序开发**： - 驱动程序是操作系统的核心组成部分...
完整版挂钩程序.rar
04-02
【标签】：“完整版挂钩程序.rar”标签表明了这个压缩包的核心内容，即是一个关于挂钩程序的完整版本，可能包括所有必要的组成部分，用户无需额外寻找其他资源就能直接研究或应用。 【压缩包子文件的文件名称列表】...
挂钩Done软件教学课件.pptx
11-13
另一部分学生则会被要求设计适用于特定场景的挂钩，比如挂在讲台边沿或铁杆上，要求他们明确挂钩的用途，并在设计中体现出实用性。 整个教学过程包含了以下几个关键知识点： 1. 手绘基础：先通过手绘S型挂钩，帮助...
win8 USB Blaster 驱动 带数字签名 通杀各种系统
02-25
可以完美解决，win8下数字签名错误以及哈希表错误的现象，不用更改系统数字签名设置
利用签名驱动漏洞过游戏反作弊引擎
做一个快乐学习者
05-06 5844
自己写的驱动没有签名，系统不加载 设置电脑为测试模式加载驱动，某些游戏在该模式下不运行 ASUS EIO64.sysMmMapIoSpace/MmUnmapIoSpaceIOMap64.sysMmMapIoSpace/MmUnmapIoSpaceATSZIO64.sysZwMapViewOfSection/ZwUnmapViewOfSection/MmGetPhysicalAddres...
UPGDSED的分析与绕过PG和DSE的方式
aihan8042的博客
05-21 1691
大纲： 对UPGDSED源码进行分析，并浅析其绕过PG和DSE方式。 小插曲： (1)、要在内核搞事情，就必须加载驱动。加载驱动的道路充满荆棘，先是有杀软的加载驱动拦截，后是有MS的 PG 和 DSE 保护。杀软那一关已经过了，但后面还有PG和DSE。 (2)、逐渐深入研究，发现Fyyre和EP_X0FF两位大牛早已经绕过了，并且公布了UPGDSED源码。在这里...
Windows钩子及钩子函数简介
一面之媛
08-13 2106
WINDOWS的钩子函数可以认为是WINDOWS的主要特性之一。利用它们，您可以捕捉您自己进程或其它进程发生的事件。通过“钩挂”，您可以给WINDOWS一个处理或过滤事件的回调函数，该函数也叫做“钩子函数”，当每次发生您感兴趣的事件时，WINDOWS都将调用该函数。一共有两种类型的钩子：局部的和远程的。 　　局部钩子仅钩挂您自己进程的事件。 　　远程的钩子还可以将钩挂其它进程发生的事件。远程的钩子又有两种： 　　基于线程的 它将捕获其它进程中某一特定线程的事件。简言之，就是可以用来观察其它进程中的某.
RobbinHood：利用Windows驱动程序漏洞关闭杀软的勒索软件
zz_strive_2012的专栏
05-25 740
近期，Sophos安全团队发现了一起新型勒索软件攻击事件，该勒索软件能通过合法且经过数字签名的硬件驱动程序，在恶意文件加密部分执行之前禁用目标计算机中的安全产品。 该驱动程序曾由台湾主板制造商技嘉（Gigabyte）使用（当前已弃用），它具有一个已知的漏洞CVE-2018-19320，利用此漏洞，攻击者能够尝试访问设备并部署第二个驱动程序，进而杀死系统中的杀毒产品。 该漏洞于2018年被发现，技嘉曾否认此漏洞并表示其产品不受影响，后来才决定撤销此驱动程序。但由于用于对驱动程序进行数字签名的Verisig
【Inline Hook基础篇】挂钩系统API
Fzuim的博客
07-31 1453
对于怎么挂钩系统API的实现，网上对此的解释有很多也很详细。这边暂不进行长篇大论，就简单的说明下原理：修改系统API的前几个字节，并写入 JMP 0x15a123 汇编指令，实现调用系统API自动跳转到我们的API的过程。 对于API HOOK的实现，现成的有MHOOK、DETOUR等类似的框架实现。既然我们要清晰的认识具体怎么实现，那么我们就自己编写实现方式，不采用第三方库。其实也很简单，没啥...
暗云木马变种来袭：格式化硬盘都杀不掉
weixin_33701294的博客
06-02 261
肆虐多年的暗云木马近日出现多个变种，会感染硬盘主引导记录(MBR)，开机启动时间比杀毒软件还要早，因此不但无法查杀，即使格式化硬盘也不能根治。 暗云木马是迄今为止最复杂的木马之一，曾经感染过数百万电脑，它用了很多复杂的新技术来长期潜伏在系统中，尤其是借助BootKit直接感染硬盘引导分区。 攻击者精心制作的这个恶意程序功能复杂，开发技巧很高，采用多种技术...
使用 React 和 Redux 进行井字游戏并附带源代码.zip
最新发布
07-24
项目：使用 React 和 Redux 进行井字游戏并附带源代码 使用 react 和 redux 的井字游戏是一个简单的 react 项目。整个项目都是使用 react components 和redux制作的。游戏很简单，玩法也很多。要运行此项目，您必须先安装 NodeJS。 关于项目 井字游戏反应而 redux 是使用ReactJS开发的。说到这个游戏，它具有高级功能和游戏玩法。要运行此项目，首先，您必须安装费用到您的系统。然后运行npm安装然后开始运行npm开始。游戏启动后，您可以选择不同的游戏选项。您还可以选择所需的网格框数量。此外，您还可以选择对手的类型。 要运行此项目，您需要 在计算机上安装NodeJS 并使用现代浏览器，例如 Google Chrome、  Mozilla Firefox。 演示： 该项目为国外大神项目，可以作为毕业设计的项目，也可以作为大作业项目，不用担心代码重复，设计重复等，如果需要对项目进行修改，需要具备一定基础知识。 注意：如果装有360等杀毒软件，可能会出现误报的情况，源码本身并无病毒，使用源码时可以关闭360，或者添加信任。
LShadowWalker1.0学习笔记：驱动入门与内存挂钩技术
学习者正在逐步深入研究DriverEntry函数，这是驱动程序加载过程中的关键部分。 DriverEntry函数是驱动程序对象（DriverObject）在Windows内核模式下初始化时被调用的入口点。在该函数中，作者首先检查了编译时间和...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值