为何HS可以在Win8 x64进行ObjectHook？

最新推荐文章于 2023-11-13 10:24:13 发布
最新推荐文章于 2023-11-13 10:24:13 发布
阅读量784 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u012187684/article/details/20038191
版权
今天尝试调戏了一下HS ，发现在W8x64环境下，有NT/ZWOPENPROCESS和EndTask的R3HOOK XT恢复之，之后又发现他竟然有令人发指的OBJ HOOK 再恢复，OD之类的可以看到进程吗？不是说PG会阻止OBJ HOOK么，为何HS的驱动可以干这些XXOO的事儿？ 
陈刚12
关注
x64 antidebug 不触发PG 补充代码
落笔飞花笑百生的博客
08-05 3174
因为搬家了  还有 板砖很忙 没办法 工头都懂得的~~~~ 先说antiantidebug 都知道 32位的驱动保护  不用VT说白了就是 HOOK过来 HOOK过去  比的是谁的 钩子深  谁的 钩子更多~~~~ 然而 64位呢 很多保护 例如TP/HP/HS 基本就是驱动几个callbacks 应用层 几个钩子 反调试  模拟一场等等    我的 PASS方法呢 例如TP钩子 KIuse
谈谈NP和HS的通用unhook
05-08 1418
先简单说以下，NP和HS都hook了以下一些SSDT什么是SSDT？我不想说那些复杂的理论，希望以简单的事实帮助介绍先向大S道歉，下文如有冒犯，还请大S原谅怎么说呢，SSDT本身就是一个地址表，我们当他是个地址簿，也就是写了每个人的地址的记录表今天，偶想给大S送新年礼物，怎么送到大S家里呢？就得查看地址簿了上面是这样写的  大S： 游戏达人，外挂高人，破解牛人，脱壳圣人；分身有如月，堀北真希，花泽
objectHook简单介绍
o330820350的专栏
09-12 1092
标 题: 【原创】objectHook简单介绍 作 者: ggdd 时 间: 2011-01-15,13:13:20 链 接: http://bbs.pediy.com/showthread.php?t=128161 其实这东西很多大牛多玩腻了的东西，看下论坛上比较少这类的，就来献献丑，科普一下 大牛们直接 可以飘过，这东西主要是自我复习一下OBJECT的一些知识，技术这东西久了不弄
勘误 win7x64下对OpenProcedure的ObjectHook
zhuhuibeishadiao
06-10 2765
那个时候刚接触ObjectHook 我对进程对象下的OpenProcedure进行HOOK 保护程序typedef LONG32 (NEAR CDECL FUNCT_005B_0FC1_OpenProcedure) (enum _OB_OPEN_REASON, CHAR, UINT64 /*struct _EPROCESS**/, UINT64 /*VOID**/, UINT64 /*ULONG
x64内核hook
liuhaidon1992的博客
01-07 1517
x64中系统提供了api帮助我们进行hook，主要是如下三个函数 PsSetCreateProcessNotifyRoutineEx，这个函数的作用就是当进程创建的时候会通知你.， PsSetCreateThreadNotifyRoutine，这个函数的作用是 当线程创建的时候会通知你。 PsSetLoadImageNotifyRoutine，这个函数的作用是 当模块加载的时候会通知你。 ...
hxyx4xyzindex php vo,webshell/php/oi.php.txt at da33d92ba83c1f8d44e15957022ed4a03423a699 · tennc/web...
热门推荐
weixin_31163455的博客
03-26 35万+
eval("?>".gzuncompress(base64_decode("eJzsvXtbG0eyOPz/eZ7zHZqJYkuxEALbuYAhwYBjToxhAa83P+BVRpqRNEHSKDMjLsn6u79V1feeHkmQZE/2POvd2Jq+VFdXd1dXV1dVv/p2Opz+9399ttwfLMjif7DDyU0YJVHKNtrtb1jpDxaM4n4yietP82H...
女孩网站全站程序
08-30
女孩网站全站程序
红队系列-shellcode AV bypass Evasion免杀合集
最新发布
aming小老弟
11-13 1268
壳就是软件所增加的保护，并不会破坏里面的程序结构，当我们运行这个加壳的程序时，系统首先会运行程序里的壳，然后由壳将加密的程序逐步还原到内存中，最后运行程序。加壳虽然对于特征码绕过有非常好的效果，加密壳基本上可以把特征码全部掩盖，但是缺点也非常的明显，因为壳自己也有特征，主流的壳如VMP, Themida等等。客户端上传特征，在云端无法检测到，则上传文件，文件通过杀软系统进行评判，得出总评分，对于无结果的，进行鉴定系统评分，总共得出结果返回给用户，并入云端库。比如可以远程读取png中的shellcode。
od结构体大小_[原创]OD插件之重载内核(高清有码)
weixin_39653761的博客
12-21 566
写这个插件其实主要是因为现在32位下各种内核钩子，用一些调试工具畏首畏尾的，一会挂钩这里，一会挂钩那里，遂干脆一了百了，直接写个内核重载插件，虽说是OD插件，也可以支持其他软件。此插件名字就叫ReloadKernel V1.0吧，贴切一点:(支持2003，XP,WIN7)请避免和360，QQ管家，百度杀毒等一同使用，对于没有DebugPort清零的保护应该是可以秒的，比如HS(亲测)，当然你要处理...
VB速查大全(数据库、表格及报表编程) ★ VB错误处理，ado常见错误，VB数据类型等，网上有很多教程是错的，强烈建议看此文
ecz00的专栏
05-19 8024
VB异常处理 (很重要) ado常见错误 ado游标及锁定介绍 免费报表控件 免费表格控件 vb数据类型(很多程序出问题出在这个，一定要看，VB msdn说的不太对) VB可用的AES加密sqlite_odbc 及 cairo_sqlite (VBRichClient自带的非odbc连接) 有vbRichClient代替winsock、实现vb多线程及远程调用activeX等
x64内核HOOK技术之拦截进程.拦截线程.拦截模块
weixin_30399155的博客
02-01 692
　　　　　　　　　　　　x64内核HOOK技术之拦截进程.拦截线程.拦截模块 一丶为什么讲解HOOK技术. 在32系统下,例如我们要HOOK SSDT表,那么直接讲CR0的内存保护属性去掉.直接讲表的地址修改即可. 但是在64位系统下,不可以这样操作了. 第一是因为 SSDT表加密了. 第二是 SSDT表你就算解密了.那么你的API的地址也会很远. SSDT表放不下4G以...
一个简单的Object Hook的例子（win7 32bit）
08-29 206
Object Hook简单的来说就是Hook对象，这里拿看雪上的一个例子，因为是在win7 32位上的，有些地方做了些修改。 _OBJECT_HEADER： kd> dt _OBJECT_HEADERnt!_OBJECT_HEADER +0×000 PointerCount : Int4B +0×004 HandleCount : Int4B ...
EndTask
Matrix_Designer的专栏
10-04 1495
<br />前些日子，写了个软件自保护的Demo，通过Hook OpenProcess，将试图获取PROCESS_TERMINATE标志的进程句柄过滤掉，这样可以达到间接拒绝TerminateProcess的效果。当然，代码和思路都是别人的，我只是整理了下，呵呵。这种方法只能对付进程管理器的结束进程，却无法解决结束任务。昨晚经好友指点，才知道原来结束任务是通过EndTask这个API调用实现的，小试牛刀，Hook掉这个API，成功解决！很是迷惑，这个微软既然有TerminateProcess了，为什么还
linux下imwbr1进程,Linux-kernel mailing list archive 2002-15,: Re: 2.5.8-dj1 with IDE TCQ doesn't surviv...
weixin_31782201的博客
05-12 2万+
--Jens Axboe--aVD9QWMuhilNxW9fContent-Type: application/x-bunzip2Content-Disposition: attachment; filename="ata-tcq-258-all-1.bz2"Content-Transfer-Encoding: base64QlpoOTFBWSZTWb9utasAo+H/gH9yvwJ//////...
结束任务函数 Endtask function
Inside Windows
10-19 2999
;结束任务函数BOOL STDCALL  EndTask (HWND hWnd, BOOL fShutDown, BOOL fForce) BOOL WINAPI EndTask(    HWND hwnd,    BOOL fShutdown,    BOOL fForce){参数Hwnd为要关闭的窗口 若是单线程窗口则线程被结束 进程随之结束参数fShutdown 暂不明确定义 估计可能是是否
hook方式进程创建监控，进程保护
kernweak的博客
05-30 3047
关于进程创建， xp系统:CreatProcessW->CreateProcessInternalW->NtCreateProcessEx->NtCreatSection Vista以上：CCreatProcessW->CreateProcessInternalW->NtCreateUserProcess->NtCreateSection 所以我们要Hoo...
object hook实现禁止创建文件
小驹的专栏
11-05 5112
内核 object hook 文件
win8 object_header信息
生活的乐趣在于折腾
09-19 647
原始链接：http://www.itnests.com/win8-64bit-_kthread-_ethread.html dt _KTHREAD +0x000 Header           : _DISPATCHER_HEADER +0x018 SListFaultAddress : Ptr64 Void +0x020 QuantumTarget    : Uint8B
西门子SIMATIC ET 200SP 数字量输入模块DI 8x24VDC HS 设备手册
"西门子_SIMATIC ET 200SP 数字量输入模块 DI 8x24VDC HS (6ES7131-6BF00-0DA0)是一款工业自动化设备，用于接收来自现场的数字信号。这款模块提供8个独立的24V直流数字输入通道，具有高速(HS)功能。该设备是SIMATIC ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值